SFC - Anexo Circular Externa 18 de 2021 (10)

SUPERINTENDENCIA FINANCIERA DE COLOMBIA

CAPÍTULO XXXI SISTEMA INTEGRAL DE ADMINISTRACIÓN DE RIESGOS (SIAR)

Página 1

PARTE I. GENERALIDADES DEL SISTEMA INTEGRAL DE ADMINISTRACIÓN DE RIESGOS

(SIAR)

1. INTRODUCCIÓN 1.1. SIAR 1.2. Ámbito de aplicación

1.2.1. Excepciones

2. COMPONENTES DEL SIAR 2.1. Marco de apetito de riesgo 2.2. Etapas del SIAR 2.3. Políticas del SIAR 2.3.1. Gestión de riesgos 2.3.2. Gobierno de riesgos y control

2.3.3. Información

3. ESTRUCTURA DE GOBIERNO DE RIESGOS 3.1. Junta Directiva 3.1.1. Gestión de riesgos 3.1.2. Recursos 3.2. Representante legal 3.2.1. Gestión de riesgos 3.2.2. Reportes e información 3.3. Función de gestión de riesgos 3.3.1. Gestión de riesgos 3.3.2. Reportes e información 3.4. Comité de riesgos 3.5. Auditoría interna

3.6. Revisor Fiscal

4. INFRAESTRUCTURA TECNOLÓGICA Y SISTEMAS DE INFORMACIÓN 4.1. Información interna 4.2. Información externa

5. DOCUMENTACIÓN

PARTE II. ADMINISTRACIÓN POR RIESGO

1. INTRODUCCIÓN

2. GESTIÓN DE RIESGO DE CRÉDITO 2.1. Definición de riesgo de crédito 2.2. Ámbito de aplicación

2.2.1. Excepciones 2.3. Componentes 2.3.1. Etapas

2.3.2. Ciclo del crédito 2.3.3. Límites 2.3.4. Reglas para la adquisición de cartera de créditos 2.4. Sistema de información 2.4.1.Requisitos mínimos de los sistemas de información y bases de datos Circular Externa 018 de 2021 Septiembre de 2021

SUPERINTENDENCIA FINANCIERA DE COLOMBIA

CAPÍTULO XXXI SISTEMA INTEGRAL DE ADMINISTRACIÓN DE RIESGOS (SIAR) Página 2 2.5. Supervisión por parte de la SFC

3. GESTIÓN DE RIESGO DE MERCADO 3.1. Definición de riesgo de mercado 3.2. Ámbito de aplicación

3.3. Componentes 3.3.1. Etapas 3.3.2. Límites 3.4. Divulgación de información y reportes 3.4.1.Divulgación de información por parte de las SCBV 3.4.2.Reportes de quien(es) desarrolle(n) la función de gestión de riesgos 3.5. Documentación 3.5.1.Documentación de las SCBV

4. GESTIÓN DE RIESGO OPERACIONAL 4.1.Definición de riesgo operacional 4.2.Ámbito de aplicación

4.3.Componentes 4.3.1.Etapas 4.4.Capacitación 4.5.Reglas especiales en materia de órdenes de embargo

5. GESTIÓN DE RIESGO DE LIQUIDEZ 5.1. Definición de riesgo de liquidez 5.2. Ámbito de aplicación

5.3. Componentes 5.3.1. Etapas 5.3.2. Límites 5.3.3. Plan de contingencia de liquidez

6. GESTIÓN DE RIESGO PAÍS

6.1. Definición de riesgo país 6.2. Ámbito de aplicación 6.3. Componentes 6.3.1. Etapas 6.3.2. Límites 6.3.3. Reportes

7. GESTIÓN DE RIESGO DE CONTRAPARTE 7.1. Definición de riesgo de contraparte 7.2. Ámbito de aplicación

7.3. Componentes 7.3.1. Etapas 7.4. Sistema de información 7.5. Supervisión del organismo de autorregulación

8. GESTIÓN DE RIESGO DE GARANTÍAS DEL FONDO NACIONAL DE GARANTÍAS 8.1. Definición de riesgo de garantías 8.2. Ámbito de aplicación

8.3. Componentes 8.3.1. Etapas 8.3.2. Límites Circular Externa 018 de 2021 Septiembre de 2021

SUPERINTENDENCIA FINANCIERA DE COLOMBIA

CAPÍTULO XXXI SISTEMA INTEGRAL DE ADMINISTRACIÓN DE RIESGOS (SIAR)

Página 3

9. GESTIÓN DE RIESGO DE SEGUROS 9.1.Riesgo de contraparte 9.2.Riesgo de liquidez 9.3.Riesgo asociado a las reservas técnicas 9.3.1.Riesgo de insuficiencia de reservas técnicas 9.3.2.Riesgo de incremento de reservas técnicas por factores de mercado 9.4.Riesgos de suscripción 9.4.1.Riesgo de tarifación 9.4.2.Riesgo de descuentos sobre primas 9.4.3.Riesgos de diferencias en condiciones

10. AGREGACIÓN DE DATOS SOBRE RIESGOS Y PRESENTACIÓN DE INFORMES 10.1. Definición de agregación de datos sobre riesgos

10.2.Ámbito de aplicación 10.3. Principios

PARTE III. MEDICIÓN Y REPORTE ESTÁNDAR DE LOS RIESGOS

1. INTRODUCCIÓN

2. MODELO DE RIESGO DE CRÉDITO 2.1. Ámbito de aplicación 2.1.1.Excepciones 2.2. Modalidades de crédito 2.2.1.Crédito comercial 2.2.2.Crédito de consumo 2.2.3.Crédito de vivienda y leasing habitacional 2.2.4.Microcrédito 2.3. Sistema de provisiones 2.3.1.Provisión Individual: modelo de pérdida esperada 2.3.2.Modelo determinístico de provisiones 2.3.3.Orden de constitución de provisiones 2.4. Criterios adicionales para calificar los créditos 2.4.1.Homologación de las calificaciones de riesgo 2.4.2.Reglas de alineamiento 2.4.3.Órdenes de reclasificación 2.5. Aspectos contables: Contabilización de intereses 2.5.1. Suspensión de la causación de intereses 2.5.2. Contabilización de réditos que al menos una vez hayan dejado de causar intereses, corrección monetaria, ajustes en cambio, cánones e ingresos por otros conceptos 2.5.3. Regla especial de provisión de cuentas por cobrar 2.5.4.Provisión sobre bienes restituidos que originalmente se hubieran dado en leasing. 2.6. Reportes a la SFC, al deudor y a los operadores de información 2.6.1.Reportes especiales de créditos reestructurados

2.6.2.Mecanismos de divulgación en relación con los operadores de información 2.6.3.Información al deudor 2.7. Temas especiales en crédito 2.7.1.Créditos otorgados a las víctimas y operaciones con entes territoriales y entidades estatales

3. MODELO DE RIESGO DE MERCADO 3.1. Ámbito de aplicación 3.2. Metodología de medición 3.2.1.Modelo estándar de medición 3.2.2.Modelos internos presentados para no objeción de la SFC 3.3. Revelación contable 3.3.1.Información cuantitativa 3.3.2.Información cualitativa Circular Externa 018 de 2021 Septiembre de 2021

SUPERINTENDENCIA FINANCIERA DE COLOMBIA

CAPÍTULO XXXI SISTEMA INTEGRAL DE ADMINISTRACIÓN DE RIESGOS (SIAR) Página 4 3.4. Reportes a la SFC

4. MODELO DE MEDICIÓN Y REGISTRO DE EVENTOS DE RIESGO OPERACIONAL 4.1. Modelo de medición 4.1.1.Ámbito de aplicación 4.2. Registro de eventos de riesgo operacional 4.2.1.Ámbito de aplicación 4.2.2.Registro de eventos de riesgo operacional de alta calidad 4.3. Revelación Contable 4.4. Reportes a la SFC

5. MODELO DE RIESGO DE LIQUIDEZ 5.1. Ámbito de aplicación 5.2. Metodología de medición 5.2.1.Metodología estándar de medición aplicable a los EC, Bancóldex, Findeter y Finagro 5.2.2.Metodología estándar de medición aplicable a las SCBV

5.2.3. Metodología estándar de medición aplicable a las administradoras de los FICs abiertos sin pacto de permanencia 5.3. Límites y medidas 5.3.1. Límite del IRL 5.3.2. Exposición significativa al riesgo de liquidez 5.4. Modelos internos para no objeción de la SFC 5.5. Disposiciones de la SFC sobre el modelo interno 5.6. Revelación contable 5.7. Reportes a la SFC

6. MODELO DE RIESGO PAÍS 6.1. Ámbito de aplicación 6.2. Categorías de riesgo país

6.2.1. Categoría A 6.2.2. Categoría B 6.2.3. Categoría C 6.2.4. Categoría D 6.2.5. Categoría E 6.3. Ajuste por deterioro del valor de la inversión 6.4. Revelación del riesgo país PARTE IV. DEFINICIONES Circular Externa 018 de 2021 Septiembre de 2021

SUPERINTENDENCIA FINANCIERA DE COLOMBIA

CAPÍTULO XXXI SISTEMA INTEGRAL DE ADMINISTRACIÓN DE RIESGOS (SIAR)

Página 5 CONSIDERACIONES GENERALES El presente Capítulo contiene los lineamientos y parámetros mínimos que sus destinatarios deben observar para una gestión adecuada e integral de los riesgos inherentes al desarrollo del negocio. El texto está compuesto por cuatro Partes. La primera contiene las generalidades del Sistema Integral de Administración de Riesgos (SIAR). La segunda señala las instrucciones para la administración de los riesgos de crédito, mercado, operacional, liquidez, país, contraparte, de seguros, garantía del Fondo Nacional de Garantías

(FNG) y la agregación de datos sobre riesgos y presentación de informes. La tercera establece las instrucciones para la medición y/o reporte estándar de los riesgos de crédito, mercado, operacional, liquidez y país. La cuarta incluye las definiciones utilizadas en las Partes I, II y III.

PARTE I. GENERALIDADES DEL SISTEMA INTEGRAL DE ADMINISTRACIÓN DE RIESGOS

(SIAR)

1. INTRODUCCIÓN 1.1. SIAR Las entidades de las que trata el subnumeral 1.2 de la presente Parte deben diseñar, implementar y mantener el SIAR. Este sistema es un conjunto de políticas, estrategias, prácticas, procedimientos, metodologías, controles y umbrales y/o límites que, de manera integrada y coordinada, le permiten a la entidad:

a. Establecer y fomentar una cultura de riesgo. b. Diseñar, implementar y monitorear el marco de apetito de riesgo y la estrategia para su ejecución. c. Articular la gestión de riesgos con el plan del negocio, los niveles de capital y liquidez y el apetito de riesgo. d. Identificar, medir, controlar, monitorear y reportar oportuna e integralmente los riesgos inherentes al desarrollo del negocio, incluidos los derivados de la administración de activos de terceros. e. Contribuir a la evaluación de la suficiencia de capital y liquidez. f. Guardar coherencia entre sus políticas de gestión de riesgos y las de sus subordinadas, cuando aplique. El SIAR debe estar acorde con el perfil y apetito de riesgo, el plan de negocio, la naturaleza, el tamaño, la complejidad y diversidad de las actividades que desarrolle la entidad, así como con los entornos económicos y

de los mercados en donde opera la entidad. El SIAR debe revisarse por lo menos una vez al año y actualizarse cuando resulte necesario con el fin de incorporar los cambios en los elementos antes indicados. Para efectos del SIAR, la entidad debe gestionar los riesgos tanto a nivel individual como consolidado. Lo anterior, sin perjuicio de la responsabilidad de las entidades subordinadas de gestionar sus riesgos y su negocio. En este sentido cada una de las subordinadas debe implementar un SIAR, o un Sistema de Administración de Riesgos de las Entidades Exceptuadas del SIAR (SARE), cuando esté obligada a hacerlo, el cual debe estar en armonía con el SIAR de la entidad controlante. El SIAR incluye los lineamientos definidos en la presente Parte, así como los señalados en las Partes II, III y IV del presente Capítulo. 1.2. Ámbito de aplicación Las entidades vigiladas deben diseñar, implementar y mantener un SIAR, respecto de todos los riesgos inherentes al desarrollo del negocio, siguiendo los parámetros mínimos señalados en la presente Parte, tanto a nivel individual como consolidado. 1.2.1. Excepciones Están exceptuadas de cumplir las instrucciones de la presente Parte: a. Los holdings financieros que no ejerzan directamente actividades financieras, de seguros, bursátil o en general relacionada con el manejo, aprovechamiento e inversión de los recursos captados del público, las Sociedades de Depósitos y Pagos Electrónicos (SEDPE), las oficinas de representación de instituciones Circular Externa 018 de 2021 Septiembre de 2021

SUPERINTENDENCIA FINANCIERA DE COLOMBIA

CAPÍTULO XXXI SISTEMA INTEGRAL DE ADMINISTRACIÓN DE RIESGOS (SIAR)

Página 6 financieras del exterior en Colombia, las reaseguradoras del exterior en Colombia y las Institutos de Fomento y Desarrollo Regional (INFIS). b. Las sociedades corredoras de seguros y reaseguros, los almacenes generales de depósito, las sociedades de intermediación cambiaria y servicios financieros especiales, los organismos de autorregulación, las bolsas de valores, las sociedades administradoras de depósitos centralizados de valores, las sociedades calificadoras de valores, la cámara de riesgo central de contraparte, los fondos de garantías diferentes al FNG, las administradoras de sistemas de pago de bajo valor, las bolsas agropecuarias, las sociedades administradoras de sistemas de negociación y registro de divisas, las sociedades administradoras de sistemas de negociación de valores y de registro de operaciones sobre valores, las sociedades administradoras de sistemas de compensación y liquidación de divisas, los proveedores de precios para valoración, el Banco de la República, las titularizadoras, y las sociedades que realicen la actividad de financiación colaborativa (SOFICO).

2. COMPONENTES DEL SIAR 2.1. Marco de apetito de riesgo La entidad debe establecer el apetito de riesgo, es decir, los niveles y tipos de riesgos que está dispuesta a asumir con el fin de cumplir con el plan de negocio.

El marco de apetito de riesgo (MAR) es el conjunto de políticas, metodologías, procedimientos, controles y umbrales y/o límites a partir del cual la entidad: (i) identifica los riesgos asociados al plan de negocio, (ii) evalúa si dichos riesgos se asumen, mitigan, evitan o transfieren, y (iii) monitorea y controla que dichos

riesgos se encuentren dentro de los umbrales y/o límites definidos por la Alta Gerencia (AG) y aprobados por la Junta Directiva (JD). Un adecuado MAR debe como mínimo: a. Ser difundido y comprendido por la AG, la JD, quien(es) desarrolle(n) la función de gestión de riesgos, el comité de riesgos, la auditoría interna, el revisor fiscal y las unidades de negocio de la entidad. b. Ser consistente con el plan de negocio, las actividades que desarrolla la entidad, su perfil de riesgo, y sus niveles de capital y liquidez, así como con los demás requerimientos regulatorios, las condiciones de las economías y los mercados en donde esta opera y su gestión de los riesgos. c. Incluir elementos cualitativos y cuantitativos, para lo cual, por lo menos se deben medir las pérdidas o niveles de riesgo que la entidad está dispuesta a asumir. A nivel cuantitativo, estas deben expresarse cómo mínimo en términos de capital, rentabilidad, volatilidad y/o liquidez, en el caso en que aplique. d. Incluir un análisis prospectivo de tal manera que le permita a la entidad anticiparse y prepararse para la materialización de los riesgos tanto en escenarios normales como adversos. e. Definir objetivos, controles y umbrales y/o límites frente a las pérdidas o los niveles de riesgo que la entidad está dispuesta a asumir, con un desglose para cada una de las actividades significativas que desarrolle y por jurisdicción donde opere. Esto debe incluir la definición de la capacidad y tolerancia a los riesgos asumidos. f. Ser parte del proceso de toma de decisiones de la JD y la AG y de la evaluación y seguimiento de los

riesgos. g. Estar documentado. 2.2. Etapas del SIAR La entidad debe atender las siguientes etapas del SIAR, las cuales deben estar en línea con el MAR.

Identificación: Consiste en determinar los riesgos (actuales y potenciales) inherentes a las actividades que desarrolla o planea desarrollar la entidad. En el caso de la implementación de nuevas actividades o modificación sobre las que están en operación y/o cambios en el plan de negocio, esta etapa debe realizarse previamente.

Medición: Consiste en cuantificar y/o evaluar la exposición a los riesgos inherentes a las actividades que desarrolla o planea desarrollar la entidad y su impacto en caso de materializarse. Esta medición debe ser cualitativa y/o cuantitativa.

Circular Externa 018 de 2021 Septiembre de 2021

SUPERINTENDENCIA FINANCIERA DE COLOMBIA

CAPÍTULO XXXI SISTEMA INTEGRAL DE ADMINISTRACIÓN DE RIESGOS (SIAR)

Página 7

Control: Consiste en establecer los mecanismos tendientes a mitigar y/o minimizar la posibilidad de ocurrencia e impacto de la materialización de los riesgos inherentes a las actividades que desarrolla la entidad. Los controles deben permitirle a la entidad conocer el grado de cumplimiento de sus políticas, estrategias, procedimientos, metodologías, controles, umbrales y/o límites y marco regulatorio, así como contar con información actualizada, confiable, oportuna y completa.

Monitoreo: Consiste en realizar un seguimiento permanente y efectivo a las fuentes de riesgo, al perfil de riesgo, a las desviaciones frente a los límites y/o umbrales, a la efectividad de los controles implementados y al posible impacto de la materialización de los riesgos. Adicionalmente, debe facilitar la rápida detección y

corrección de las deficiencias en el SIAR. El monitoreo debe ser intensivo en relación con las deficiencias identificadas en la gestión de los riesgos y en los correctivos y acciones de mejora. 2.3. Políticas del SIAR Es el conjunto de directrices sobre las cuales se fundamenta la gestión de los riesgos de la entidad. Estas políticas deben: (i) ser claras y de conocimiento y cumplimiento de todos los funcionarios de la entidad y verse reflejadas en las responsabilidades y facultades que estos desempeñan y (ii) estar soportadas e implementadas a través de procedimientos, estrategias, metodologías, modelos, controles y umbrales y/o límites. La entidad debe como mínimo definir y adoptar políticas y procedimientos que le permitan cumplir con lo siguiente: 2.3.1.Gestión de riesgos a. Divulgar el SIAR y el MAR a la JD, la AG, a quien(es) desarrolle(n) la función de gestión de riesgos, el comité de riesgos, el revisor fiscal, la auditoría interna y a las unidades de negocio de la entidad. b. Divulgar las políticas y elementos del SIAR, incluidos los lineamientos de conducta o ética al interior de la entidad a fin de promover la cultura de riesgo y tomar las medidas correctivas y de mejora en caso de incumplimiento. c. Instrumentar las etapas del SIAR y sus elementos. d. Revisar periódicamente la idoneidad y funcionamiento del SIAR y actualizarlo cuando resulte necesario. e. Definir y aprobar los mercados y actividades que la entidad desarrolla y/o planea desarrollar o modificar, así como su composición de activos, pasivos y capital. f. Gestionar los riesgos inherentes a los nuevos mercados, procesos y/o actividades.

g. Definir, monitorear y reportar los umbrales y límites del MAR y niveles máximos de exposición, concentración y pérdida tolerada por tipo de riesgo, con un desglose de las posiciones por sector económico, actividad, plazo, tipo de operación, reasegurador, contraparte, vinculados, partes relacionadas, área geográfica y divisa, cuando aplique. h. Contar con criterios para exigir, aceptar y realizar el avalúo de las garantías y contragarantías, cuando aplique. Lo anterior, sin perjuicio de las garantías exigidas por los administradores de los sistemas de negociación de valores, sistemas de registro de operaciones sobre valores, bolsas de valores, bolsas de bienes y productos agropecuarios, agroindustriales o de otras materias primas, el sistema de compensación y liquidación de operaciones y cámaras de riesgo central de contraparte.

1. Tomar e implementar las acciones necesarias, incluidas las disciplinarias, ante: (i) cambios inesperados en la exposición de riesgo, (ii) activación del sistema de alertas tempranas e (iii) incumplimiento de los límites internos y/o regulatorios. De igual forma implementar los lineamientos de cuándo y a quiénes se escalan y reportan los eventos mencionados anteriormente.

j. Implementar las medidas necesarias ante la materialización de los riesgos y la revisión periódica de la efectividad de dichas medidas. k. Diseñar e implementar los planes de contingencia y la gestión y plan de continuidad del negocio, así como realizar la revisión periódica de la efectividad de dichos planes. l. Administrar el registro de eventos de riesgo operacional. Circular Externa 018 de 2021 Septiembre de 2021

SUPERINTENDENCIA FINANCIERA DE COLOMBIA

CAPÍTULO XXXI SISTEMA INTEGRAL DE ADMINISTRACIÓN DE RIESGOS (SIAR)

Página 8 m. Contratar seguros y tercerizar en personas naturales y/o jurídicas el desarrollo de sus procesos, siempre que no implique la delegación de la profesionalidad. 2.3.2.Gobierno de riesgos y control a. Asignar el personal y los recursos físicos, económicos y tecnológicos para el desarrollo, implementación y mantenimiento adecuado del SIAR, así como las cualidades mínimas que estos deben tener. b. Capacitar al personal de la entidad para fortalecer sus competencias en materia de gestión de riesgos y para asegurar la efectiva ejecución de las funciones asignadas. c. Contar con lineamientos de conducta o ética que orienten la actuación de los funcionarios de la entidad para el efectivo y oportuno funcionamiento del SIAR. d. Evaluar la correspondencia entre el plan de negocio y los niveles de capital y liquidez y el MAR de la entidad, así como con las funciones y atribuciones asignadas a la AG, la JD, a quien(es) desarrolle(n) la función de gestión de riesgos, el comité de riesgos, el revisor fiscal y la auditoría interna. e. Identificar, administrar, revelar, comunicar y resolver los conflictos de interés en concordancia con el código de ética o de conducta de la entidad y la legislación vigente. f. Gestionar, comunicar y aprobar las operaciones intragrupo y con vinculados y partes relacionadas. g. Adecuar el sistema de control interno al SIAR. h. Determinar los incentivos adecuados acordes con una prudente asunción de riesgos y con el MAR, los

objetivos a largo plazo y los niveles de capital y liquidez de la entidad. 2.3.3.Información a. Comunicar a la JD, comité de riesgos y a la AG sobre la gestión de los riesgos, así como los hallazgos y recomendaciones de quien(es) desarrolle(n) la función de gestión de riesgos, la auditoría interna y el revisor fiscal. b. Atender los requerimientos de información por parte de la Superintendencia Financiera de Colombia (SFC) y/o demás autoridades competentes, así como contar con los mecanismos para validar la calidad de la información suministrada.

3. ESTRUCTURA DE GOBIERNO DE RIESGOS La entidad debe contar con una estructura organizacional apropiada para la gestión de los riesgos y cumplimiento del SIAR, la cual debe estar en línea con los negocios y riesgos a los que está expuesta. Esta

estructura debe incluir: a. Los procedimientos que le permitan a la entidad la toma de decisiones informadas, la gestión de los riesgos, el diseño y seguimiento del SIAR y el reporte y rendición de cuentas. b. Las funciones y responsabilidades claramente definidas para las áreas y el personal de la entidad que participan en la gestión de riesgos, así como procedimientos para evaluar su desempeño. Las unidades de negocio de la entidad deben hacer parte de la gestión integral de los riesgos en la medida en que estas toman y/o generan exposición a uno o varios riesgos y por tanto son responsables de su continua gestión. Por lo anterior, las políticas, prácticas, estrategias, procedimientos, metodologías, modelos y umbrales y/o límites de gestión de riesgos deben estar integradas en las actividades que desarrollan las unidades de negocio. Para la adecuada gestión de los riesgos a nivel consolidado, la entidad controlante debe: (i) contar con la

información suficiente de las subordinadas, teniendo en cuenta las posibles restricciones de acceso por confidencialidad de la información para la entidad que consolida, e (ii) implementar los mecanismos de coordinación y de reporte que resulten necesarios. 3.1.Junta Directiva Circular Externa 018 de 2021 Septiembre de 2021

SUPERINTENDENCIA FINANCIERA DE COLOMBIA

CAPÍTULO XXXI SISTEMA INTEGRAL DE ADMINISTRACIÓN DE RIESGOS (SIAR)

Página 9 La JD debe cumplir como mínimo con las siguientes funciones y responsabilidades: 3.1.1.Gestión de riesgos a. Aprobar el plan de negocio de la entidad y verificar su cumplimiento. b. Aprobar y verificar el cumplimiento del MAR, las políticas del SIAR, los límites generales de exposición y concentración, la estructura de gobierno de riesgos, las estrategias para gestionar: (i) los riesgos, (ii) el capital, (iii) la liquidez y (iv) los conflictos de interés y su revelación; así como sus actualizaciones. Para lo anterior debe verificar ue sean acordes con el perfil y apetito de riesgo, el plan de negocio, la naturaleza, el tamaño, la complejidad y diversidad de las actividades que desarrolle la entidad, y los entornos económicos y los mercados en donde esta opera. c. Aprobar: (i) los lineamientos de los informes internos que se le presenten en relación con la gestión de los riesgos y (ii) el plan de contingencia de liquidez; así como sus actualizaciones. d. Aprobar las medidas a implementar y realizar seguimiento a su aplicación y efectividad, cuando se presenten: (i) incrementos en la exposición a los riesgos que resulten en sobrepasos en los umbrales y/o

límites regulatorios y/o internos definidos por la entidad o incumplimientos en el MAR, (ii) debilidades en el SIAR para realizar una gestión de los riesgos acorde con las economías y mercado en donde opera la entidad, su nivel de capital y liquidez, el marco regulatorio, el plan de negocio y el perfil y apetito de riesgo de la entidad y (iii) las acciones correctivas y de mejora, una vez se hayan superado las instancias previas en la estructura de gobierno. e. Conocer los resultados de las pruebas de estrés y aprobar las medidas o planes a implementar para mitigar los riesgos con base en sus resultados. f. Monitorear, por lo menos una vez al año, la efectividad e idoneidad del SIAR para realizar una adecuada gestión de los riesgos y su concordancia con el plan de negocio y con las economías y mercados en donde opera la entidad, así como aprobar las acciones de mejora. g. Aprobar de forma previa la reclasificación de una posición en el libro de tesorería o en el libro bancario, como resultado de una estrategia de cobertura identificada. La reclasificación sólo regirá a partir de los 30 días hábiles siguientes a su adopción. Lo anterior no supone ni permite la reclasificación de inversiones para efectos de valoración y contabilización, cuyas reglas se encuentran consignadas en el Capítulo de valoración de inversiones de la Circular Básica Contable y Financiera (CBCF). En todo caso, las estrategias de cobertura a implementar deberán cumplir los criterios definidos en el Capítulo XVIII de la CBCF. 3.1.2.Recursos a. Designar los miembros que hacen parte del comité de riesgos, aprobar su reglamento y definir sus

funciones. b. Aprobar, por lo menos una vez al año, la política de capacitación del personal que hace parte de la estructura del gobierno de riesgos de la entidad, así como los lineamientos en materia de ética o conducta y de control interno relacionados con el SIAR. Las decisiones que tome la JD en desarrollo de las atribuciones antes mencionadas deben constar por escrito en el acta de la reunión respectiva y estar debidamente motivadas. 3.2.Representante legal El representante legal debe, bajo la dirección y supervisión de la JD, ejecutar y monitorear la implementación y cumplimiento del plan de negocio y del SIAR, razón por la cual debe como mínimo cumplir con las siguientes funciones y responsabilidades: 3.2.1.Gestión de riesgos a. Someter a aprobación de la JD el plan de negocio, el MAR, las políticas del SIAR, los límites generales de exposición y concentración, la estructura de gobierno de riesgos, las estrategias para gestionar: (i) los riesgos, (ii) el capital, (iii) la liquidez y (iv) los conflictos de interés y su revelación; así como sus actualizaciones. De igual forma debe velar por su cumplimiento. Circular Externa 018 de 2021 Septiembre de 2021

SUPERINTENDENCIA FINANCIERA DE COLOMBIA

CAPÍTULO XXXI SISTEMA INTEGRAL DE ADMINISTRACIÓN DE RIESGOS (SIAR)

Página 10 b. Someter a aprobación de la JD: (i) los lineamientos de los informes internos que se le presenten en relación con la gestión de los riesgos y (ii) el plan de contingencia de liquidez; así como sus actualizaciones. c. Aprobar el manual del SIAR y los planes de contingencia y de continuidad del negocio. Este último debe

contemplar los riesgos asociados a la interconectividad con otras infraestructuras y/o entidades vigiladas o proveedores (terceros). d. Verificar que los planes de contingencia y continuidad del negocio se contemplen en el presupuesto para su oportuna ejecución. e. Monitorear que el SIAR resulte adecuado para gestionar los riesgos y sea acorde con el perfil y apetito de riesgo, plan de negocio, naturaleza, tamaño y complejidad de la entidad, el marco regulatorio y las condiciones de las economías y mercados en donde esta opera. f. Revisar periódicamente la composición, características y nivel de diversificación de los activos, pasivos, capital, liquidez y estrategia de fondeo. g. Velar porque el registro de eventos de riesgo operacional cumpla con los criterios de integridad, confiabilidad, disponibilidad, cumplimiento, efectividad, eficiencia y confidencialidad de la información allí contenida, así como porque exista un procedimiento para alimentar dicho registro. h. Propender por la calidad y consistencia de la información.

1. Cumplir con las funciones y responsabilidades a las que se refieren los literales c, d, e y f del subnumeral 3.4. de la presente Parte, cuando la entidad no cuente con un comité de riesgos de conformidad con lo señalado en dicho subnumeral. 3.2.2.Reportes e información

a. Informar trimestralmente a la JD sobre el desempeño de la entidad, su situación financiera y los problemas identificados en la gestión de riesgos junto con las respectivas recomendaciones. b. Informar oportunamente a la JD sobre: (i) los cambios o desviaciones frente al plan de negocio y el apetito

de riesgo, (ii) cualquier situación o evento de riesgo que pueda comprometer la viabilidad del negocio o la confianza del público y garantizar que se tomen las medidas correctivas y/o acciones de mejora. c. Informar oportunamente a la SFC sobre cualquier situación o evento de riesgo que comprometa la viabilidad del negocio o la confianza del público, así como las causas que la originaron y las medidas que pondrán en marcha para corregir o enfrentar dicha situación. d. Comunicar por escrito a la SFC dentro de los 10 días hábiles siguientes a la autorización de que trata el literal g del subnumeral 3.1.1 de la presente Parte. 3.3.Función de gestión de riesgos La entidad debe desarrollar la gestión de riesgos de tal forma que sea organizacionalmente independiente de las unidades de negocio, áreas de tecnología y demás dependencias que podrían generar conflictos de interés. Quien(es) desarrolle(n) dicha función debe(n): (i) tener acceso directo a la JD, al comité de riesgos, la AG, a las unidades de negocio y demás dependencias de la entidad, así como a sus registros e información y (ii) contar con el nivel jerárquico, el poder de decisión y la autoridad suficiente para cumplir con sus funciones y responsabilidades y para hacer recomendaciones y seguimiento a las medidas tomadas por la administración en respuesta a los problemas y oportunidades de mejora identificados. Adicionalmente, las entidades vigiladas qu