SFC - P1 TIT IV CAP IV - SARLAFT, circular 027 de 2020

SUPERINTENDENCIA FINANCIERA DE COLOMBIA

PRIMERA PARTE

INSTRUCCIONES GENERALES APLICABLES A LAS ENTIDADES SUPERVISADAS

TÍTULO IV DEBERES Y RESPONSABILIDADES CAPÍTULO IV: INSTRUCCIONES RELATIVAS A LA ADMINISTRACIÓN DEL RIESGO DE BLANQUEO DE CAPITALES

Y FINANCIACIÓN DEL TERRORISMO

CONTENIDO

CONSIDERACIONES GENERALES

1. DEFINICIONES

2. ÁMBITO DE APLICACIÓN 2.1. Funcionario responsable de las medidas de control contra el blanqueo de capitales y la financiación del terrorismo

3. DEFINICIÓN DE RIESGO DE LA/FT

4. ALCANCE DEL SISTEMA DE GESTIÓN DE RIESGOS DE LAVADO DE ACTIVOS Y FINANCIAMIENTO DEL TERRORISMO (SARLAFT) 4.1. Etapas del SARLAFT 4.2. Elementos del SARLAFT

5. REGLAS ESPECIALES PARA TRANSFERENCIAS 5.1. Transferencias internacionales 5.2. Transferencias nacionales 5.3. Instituciones supervisadas autorizadas para prestar servicios de transferencia de dinero

5.4. Documentación

6. SANCIONES FINANCIERAS SELECTIVAS

7. PRÁCTICAS INSEGURAS PARTE I – TÍTULO IV – CAPÍTULO IV Circular Externa 027 de 2020 Septiembre 2020

SUPERINTENDENCIA FINANCIERA DE COLOMBIA

PRIMERA PARTE

INSTRUCCIONES GENERALES APLICABLES A LAS ENTIDADES SUPERVISADAS

TÍTULO IV DEBERES Y RESPONSABILIDADES CAPÍTULO IV: INSTRUCCIONES RELATIVAS A LA ADMINISTRACIÓN DEL RIESGO DE BLANQUEO DE CAPITALES

Y FINANCIACIÓN DEL TERRORISMO CONSIDERACIONES GENERALES El lavado de activos y el financiamiento del terrorismo representan una gran amenaza para la estabilidad del sistema financiero y la integridad de los mercados debido a su carácter global y a las redes utilizadas para el manejo de dichos recursos. Esta circunstancia pone de manifiesto la importancia y urgencia de combatirlos, siendo fundamental el papel que deben desempeñar para tal fin las instituciones supervisadas por la Superintendencia Financiera de Colombia (SFC) y el supervisor financiero. Sobre esta base, esta Superintendencia exige a las instituciones supervisadas que implementen un Sistema de Gestión de Riesgos de Lavado de Activos y Financiamiento del Terrorismo (SARLAFT) con el fin de evitar que sean utilizados para: (i) Dar apariencia de legalidad a activos provenientes de actividades delictivas, y (ii) la canalización de recursos hacia la realización de actividades terroristas. Así, en desarrollo de los Arts. 102 y siguientes del Estatuto Orgánico del Sistema Financiero (EOSF), y en concordancia con el Art. 22 de la Ley 964 de 2005, la SFC establece los criterios y parámetros mínimos que deben cumplir las instituciones supervisadas en el diseño, implementación y operación del mencionado sistema. El SARLAFT consta de dos fases, a saber: la primera, que corresponde a la prevención de riesgos y cuyo objetivo es evitar que se introduzcan en el sistema financiero recursos provenientes de actividades relacionadas con el lavado de activos y/o financiamiento del terrorismo (en adelante, LA/FT); y la segunda, que corresponde al control, cuya finalidad es detectar y

reportar las operaciones que se pretendan realizar o que se hayan realizado, para tratar de dar apariencia de legalidad a las operaciones relacionadas con LA/FT. La gestión de riesgos LA/FT tiene una naturaleza diferente a la de los procesos de gestión de riesgos típicamente financieros (riesgos crediticios, seguros, técnicos, de mercado, de liquidez, entre otros), ya que los mecanismos para la administración de los primeros están orientados a prevenirlos, detectarlos y reportarlos (de manera oportuna y eficaz). En cambio, los mecanismos de administración de estos últimos están orientados a asumirlos total o parcialmente en función del perfil de riesgo de la entidad y de la relación rentabilidad/riesgo.

1. DEFINICIONES Para los efectos de este Capítulo, los siguientes términos deben entenderse de acuerdo con las definiciones que se establecen a continuación: 1.1. Agentes económicos: Personas físicas o jurídicas y estructuras sin personalidad jurídica que realizan transacciones económicas dentro de un sistema. 1.2. Alta Dirección: Responsable de dirigir, ejecutar y supervisar las transacciones de la institución bajo la dirección del Consejo de Administración. 1.3. Banco fantasma: Institución financiera que: (i) no tenga presencia física en el país en el que está constituida y está autorizada, (ii) no pertenezca a un conglomerado financiero que esté sujeto a una supervisión integral y consolidada por parte de esta Superintendencia, y (iii) no esté sujeta a inspección, vigilancia y/o control o un grado equivalente de supervisión, por el supervisor de la jurisdicción en la que esté domiciliada o constituida.

1.4. Beneficiario Final: Toda persona natural a que se refiere el Art. 631-5 del Estatuto Tributario, o cualquier norma que lo modifique o sustituya. 1.5. Canales de Distribución: Se entiende como tales, los regulados en la Parte I, Título II, Capítulo I de la Circular Básica Legal (CBJ). 1.6. Cliente: Cualquier persona física o jurídica y estructuras sin personalidad jurídica, con la que la entidad establezca y mantenga una relación contractual o jurídica para el suministro de cualquier producto de su actividad. 1.7. Contexto externo: El entorno externo en el que la organización busca alcanzar sus objetivos, que puede incluir: (i) el entorno cultural, social, político, legal, regulatorio, financiero, tecnológico, económico, natural y competitivo, ya sea internacional, nacional, regional o local; (ii) los principales impulsores y tendencias que afectan a los objetivos de la organización; y (iii) las relaciones con personas y organizaciones que puedan afectar, verse afectadas o percibirse como afectadas por una decisión o una actividad, y sus percepciones y valores. 1.8. Contexto interno: El entorno interno en el que la organización busca alcanzar sus objetivos, que puede incluir: (i) gobernanza, estructura organizacional, funciones y responsabilidades; (ii) políticas, objetivos y estrategias implementadas para alcanzarlos; (iii) capacidades, entendidas en términos de recursos y conocimientos (por ejemplo, capital, tiempo, personas, procesos, sistemas y tecnologías); iv) los sistemas de información, las corrientes de información y los procesos de adopción de decisiones (tanto formales como informales); (v) la cultura de la organización; (vi) reglas, directrices y modelos

adoptados por la organización; y (vii) las formas y el alcance de las relaciones contractuales. 1.9. Corresponsal Transnacional: Es la relación contractual entre dos instituciones financieras, la primera denominada "establecimiento corresponsal" y la segunda "establecimiento representado". Las instituciones financieras deben estar ubicadas en diferentes jurisdicciones. Los "establecimientos corresponsales" son las entidades que ofrecen/prestan determinados servicios a otras entidades financieras, y los "establecimientos representados" son los que utilizan/reciben los servicios contratados con el "establecimiento corresponsal".

PARTE I – TÍTULO IV – CAPÍTULO IV PÁGINA 1

Circular Externa 027 de 2020 Septiembre 2020 SUPERINTENDENCIA FINANCIERA DE COLOMBIA 1.10. Trabajadores: Personas naturales que se vean obligadas a prestar un servicio a otra persona física o jurídica, bajo la dependencia o subordinación continuada de esta última y mediante remuneración. 1.11. Instituciones beneficiarias: Instituciones que reciben una transferencia electrónica de una institución que realiza el pedido, directamente o a través de una institución intermediaria, y suministra los fondos al beneficiario. 1.12. Instituciones intermediarias: Instituciones supervisadas en cadena serial o pago de cobertura, que reciben y transmiten una transferencia electrónica en nombre de la institución financiera que realiza la orden y de la institución beneficiaria u otra institución intermediaria. 1.13. Instituciones originadoras: Instituciones supervisadas que inician la transferencia electrónica y transfieren los fondos al recibir la solicitud respectiva de la parte originadora. 1.14. Estructuras sin personería jurídica: Cualquier estructura prevista en la Sección 6, Artículo 1, Resolución 000164 de 27

de diciembre de 2021, emitida por la Unidad Administrativa Especial de la Dirección de Impuestos y Aduanas Nacionales – DIAN, o cualquier norma que la modifique o sustituya. En cualquier caso, en la aplicación de los procedimientos de conocimiento del cliente, deberán observarse las pautas establecidas en la Subsección 4.2.2.2.1 de este Capítulo. 1.15. Factores de riesgo: Agentes generadores del riesgo de LA/FT. Para efectos del SARLAFT, las instituciones supervisadas deberán tener en cuenta, al menos, lo siguiente: 1.15.1. Clientes y usuarios 1.15.2. Productos 1.15.3. Canales de distribución 1.15.4. Jurisdicciones 1.16. Financiamiento del terrorismo: Conjunto de actividades dirigidas a canalizar recursos legales o ilegales para promover, apoyar o patrocinar a personas, grupos o actividades terroristas. 1.17. Blanqueo de capitales: Conjunto de actividades dirigidas a ocultar el origen ilícito o dar apariencia de legalidad a los recursos obtenidos como consecuencia de la ejecución de actividades ilícitas. 1.18. Listas internacionales vinculantes para Colombia: Listas de personas e instituciones asociadas a organizaciones terroristas que son vinculantes para Colombia de conformidad con el Derecho Internacional, incluyendo pero no limitándose a las Resoluciones 1267 de 1999, 1988 de 2011, 1373 de 2001, 1718 y 1737 de 2006 y 2178 de 2014 del Consejo de Seguridad de las Naciones Unidas, a todas las que las sustituyan, relacionarlos y complementarlos, y cualquier otra lista que

se adopte en el país. 1.19. Agente: Persona que está obligada a celebrar o ejecutar uno o más actos en nombre de otra. 1.20. Matriz de riesgos: Herramienta que facilita una evaluación holística de riesgos, la cual debe cumplir con lo establecido en el subapartado 4.2.2.3.5. de este Capítulo. 1.21. Personas políticamente expuestas: Aquellas personas definidas en el art. 2.1.4.2.3. del Decreto 1081 de 2015, y demás normas que lo modifiquen, complementen, sustituyan o adicionen. 1.22. Extranjeros expuestos políticamente: Aquellas personas definidas en el art. 2.1.4.2.9. del Decreto 1081 de 2015, y demás normas que lo modifiquen, complementen, sustituyan o adicionen. 1.23. Cliente potencial: La persona física o jurídica o estructura sin personería jurídica que se encuentre en la fase precedente de negociaciones preliminares con la institución supervisada respecto de los productos o servicios ofrecidos por ésta. 1.24. Producto: Son las operaciones legalmente autorizadas que las instituciones supervisadas pueden realizar a través de la celebración de un contrato (por ejemplo, cuenta corriente o de ahorro, seguros, inversiones, TDC, giros postales, emisión de deuda, compra y venta de valores, negocios fiduciarios, etc.). 1.25. Proveedores: Personas naturales o jurídicas que provean o suministren los bienes o servicios necesarios a una institución supervisada, para el desarrollo de su actividad y operación, mediante la celebración de un contrato. 1.26. Riesgos asociados al LA/FT: Riesgos a través de los cuales se materializa el riesgo LA/FT, incluidos los reputacionales,

legales, operativos y contagiosos. 1.26.1. Riesgo reputacional: La posibilidad de pérdida en que incurra una institución por descrédito, mala imagen, publicidad negativa, verdadera o no, respecto de la institución y sus prácticas comerciales, que ocasione pérdida de clientes, disminución de ingresos o procedimientos judiciales. 1.26.2. Riesgo jurídico: Posibilidad de pérdida sufrida por una entidad cuando es sancionada u obligada a indemnizar daños y perjuicios como consecuencia del incumplimiento de normas o reglamentos y obligaciones contractuales. También surge como consecuencia de acuerdos y transacciones fallidas, derivadas de acciones maliciosas, negligencias o actos involuntarios que afecten la formalización o ejecución de acuerdos o transacciones. 1.26.3. Riesgo operacional: La posibilidad de incurrir en pérdidas por deficiencias, fallas o insuficiencias, en recursos humanos, procesos, tecnología, infraestructura o por la ocurrencia de eventos externos. Esta definición incluye el riesgo legal y reputacional asociado a dichos factores. 1.26.4. Riesgo de contagio: Es la posibilidad de pérdida que pueda sufrir una entidad, directa o indirectamente, por una acción o experiencia de un vinculado. La parte vinculada es la parte vinculada o asociada, e incluye a las personas físicas o jurídicas o estructuras sin personalidad jurídica que tengan la posibilidad de ejercer influencia sobre la institución. 1.27. Riesgo inherente: El nivel de riesgo inherente a la actividad, sin tener en cuenta el efecto de los controles. 1.28. Riesgo residual o neto: El nivel de riesgo resultante después de aplicar los controles.

PARTE I – TÍTULO IV – CAPÍTULO IV PÁGINA 2

Circular Externa 027 de 2020 Septiembre 2020 SUPERINTENDENCIA FINANCIERA DE COLOMBIA 1.29. Segmentación: Proceso mediante el cual se lleva a cabo la separación de los elementos en grupos homogéneos dentro de ellos y heterogéneos entre ellos. La separación se basa en el reconocimiento de diferencias significativas en sus características (variables de segmentación). 1.30. Servicios: Todas las interacciones entre las instituciones sujetas a inspección y vigilancia de la SFC, y las personas o estructuras sin personería jurídica, distintas de sus clientes. 1.31. Transferencia: Se pone a disposición de una persona natural o jurídica o estructura sin personalidad jurídica (beneficiario) una transacción realizada por una persona natural o jurídica o estructura sin personería jurídica (beneficiario) en otra entidad autorizada para realizar este tipo de transacciones, a través de una institución autorizada en la jurisdicción respectiva para realizar transferencias nacionales y/o internacionales, a través de movimientos electrónicos o contables, por una suma de dinero. La parte originadora y el beneficiario pueden ser la misma persona. 1.32. Usuarios: Personas físicas o jurídicas o estructuras sin personalidad jurídica (no clientes) a las que la entidad presta un servicio. 1.33. Vehículos de inversión: Estructuras sin personería jurídica que son administradas por entidades supervisadas, tales como: fideicomisos independientes, fondos de inversión, fondos de pensiones voluntarios, fondos de pensiones y cesantías, entre otros. 1.34. Partes vinculadas: Aquellas que cumplan con alguno de los criterios establecidos en el artículo 2.39.3.1.2 del Decreto

2555 de 2010 en los términos establecidos en dicho artículo.

2. ÁMBITO DE APLICACIÓN Es responsabilidad de las instituciones supervisadas diseñar e implementar un SARLAFT efectivo de acuerdo con los criterios y parámetros mínimos requeridos en este Capítulo, sin perjuicio de señalar que de conformidad con el Literal (e), Sección 2, Art. 102, EOSF, el mismo debe estar en línea con los estándares internacionales en la materia, especialmente los emitidos por el GAFI-GAFILAT.

Salvo lo dispuesto en la Sección 2.1 de este Capítulo, se exceptúan de la aplicación de las instrucciones contenidas en este Capítulo las siguientes instituciones: El Fondo de Garantía de Instituciones Financieras (FOGAFIN), el Fondo de Garantía de Entidades Cooperativas (FOGACOOP), El Fondo Nacional de Garantías S.A. (FNG), fondos mutuos de inversión sujetos a supervisión permanente por parte de la SFC, sociedades calificadoras de valores y/o riesgo, oficinas de representación de instituciones financieras y reaaseguradoras extranjeras, casas de bolsa de seguros, intermediarias de reaseguros, oficinas de representación de instituciones extranjeras del mercado de valores, organismos autorreguladores, Institutos Regionales de Promoción y Desarrollo (INFIS), sociedades de financiamiento colaborativo a través de valores, bolsas de valores y valores los sistemas de comercio o registro que realicen actividad de financiamiento colaborativo (SOFICO), los proveedores de infraestructura de acuerdo con la definición del Art. 11.2.1.6.4 del Decreto 2555 de 2010, con excepción de los almacenes

generales de depósito y los administradores de sistemas de pago de bajo valor. Estas excepciones no afectan el deber legal de dichas instituciones de cumplir con lo dispuesto en los Arts. 102 a 107, EOSF, en lo que sea pertinente de acuerdo a su actividad, especialmente en lo que se refiere a la presentación de reportes de operaciones en efectivo, clientes exonerados y ROS a la Unidad de Información y Análisis Financiero (UIAF), para lo cual deberán utilizar los documentos técnicos e instrucciones correspondientes, anejo al presente capítulo. Asimismo, se exceptúan de estas instrucciones las instituciones administradoras del régimen de prima media con beneficio definido, salvo aquellas que estén autorizadas por ley para recibir nuevos miembros. Las instituciones sujetas a la inspección y vigilancia de la SFC que deban implementar el SARLAFT, que en el desarrollo de su actividad pretendan vincular como clientes a las instituciones supervisadas por esta Superintendencia, están facultadas para eximir a dichas instituciones del cumplimiento de las instrucciones relacionadas con el conocimiento del cliente. El SARLAFT implementado por las instituciones supervisadas en desarrollo de lo dispuesto en las presentes instrucciones deberá atender a la naturaleza, objeto social y demás características particulares de cada una de ellas. 2.1. Funcionario responsable de las medidas de control contra el blanqueo de capitales y la financiación del terrorismo De conformidad con el artículo 102 de la sección 3 de la EOSF, las instituciones supervisadas deben diseñar y poner en práctica procedimientos específicos para el control del riesgo de LA/FT y designar funcionarios responsables de verificar el adecuado cumplimiento de dichos procedimientos. A estos efectos, las entidades supervisadas exceptuadas de la aplicación de las demás instrucciones establecidas en el

presente Capítulo, de conformidad con lo dispuesto en el apartado 2 (en adelante, entidades supervisadas exceptuadas), deberán cumplir las siguientes instrucciones: 2.1.1. Funciones Las instituciones supervisadas exceptuadas deberán designar un funcionario, con su respectivo suplente, responsable de la administración de las medidas de control destinadas a evitar que en la realización de sus operaciones puedan ser utilizadas como instrumento para el ocultamiento, manejo, inversión o utilización de cualquier forma de dinero u otros bienes derivados de actividades delictivas o destinados a su financiamiento, o para dar apariencia de legalidad a las actividades delictivas o a cualesquiera transacciones y fondos vinculados a ellas, que deberán: 2.1.1.1. Participar en el diseño de procedimientos contra LA/FT. 2.1.1.2. Velar por el cumplimiento de dichos procedimientos y la aplicación de las medidas correctoras establecidas para superar las deficiencias detectadas. 2.1.1.3. Presentar informes de gestión al consejo de administración u órgano que le sustituya, al menos semestralmente. En caso de que dicho órgano no exista por su naturaleza jurídica, estas funciones corresponderán al representante legal. 2.1.1.4. Proponer a la administración la creación y actualización de manuales de procedimientos y asegurar su divulgación a los funcionarios de la respectiva entidad. 2.1.1.5. Evaluar los informes de auditoría interna y externa de la entidad y diseñar las medidas para subsanar las deficiencias identificadas en dichos informes, en relación con las medidas de control de riesgos de LA/FT. 2.1.1.6. Atender y coordinar cualquier requerimiento, solicitud o diligencia de la autoridad judicial o administrativa competente

en esta materia.

PARTE I – TÍTULO IV – CAPÍTULO IV PÁGINA 3

Circular Externa 027 de 2020 Septiembre 2020 SUPERINTENDENCIA FINANCIERA DE COLOMBIA 2.1.1.7. Velar por el cumplimiento de lo dispuesto en el apartado 2, art. 102, EOSF. 2.1.1.8. Cumplir con las obligaciones relacionadas con las sanciones financieras específicas, establecidas en este Capítulo. 2.1.1.9. Cumplir con las obligaciones relacionadas con la consulta de sus clientes en listas vinculantes para Colombia de conformidad con el inciso 4.2.2.1.4. de este Capítulo. Las instituciones supervisadas exceptuadas no deberán contar con un oficial de cumplimiento de conformidad con lo dispuesto en la subsección 4.2.4.3 de este Capítulo. 2.1.2. Deberes del funcionario responsable Las instituciones supervisadas exceptuadas deberán: 2.1.2.1. Designar al principal responsable, con su respectivo suplente, a través del consejo de administración o del órgano que haga sus veces. En caso de que por su naturaleza jurídica no exista dicho órgano, el representante legal deberá designarlo. 2.1.2.2. Garantizar que las tareas adicionales asignadas al funcionario responsable no generen conflictos de interés con las funciones enumeradas en la subsección 2.1.1 del presente capítulo. 2.1.2.3. Verificar que el funcionario responsable tenga suficiente conocimiento del régimen jurídico y de las normas internacionales sobre LA/FT. 2.1.2.4. Verificar que el funcionario responsable no se encuentre en una lista internacional vinculante para Colombia.

2.1.2.5. Inscribir, dentro de los 15 días calendario siguientes a su designación, al funcionario responsable principal o suplente, según sea el caso. Para ello, la información correspondiente al nombre, número de identificación, número telefónico y correo electrónico de dichos funcionarios deberá ser enviada a través de los canales dispuestos por la SFC para tal fin. Será responsabilidad del representante legal de la institución llenar y verificar los datos descritos en este apartado.

3. DEFINICIÓN DE RIESGO DE LA/FT Para los efectos de este Capítulo, se entiende por riesgo LA/FT la posibilidad de pérdida o daño que pueda sufrir una institución supervisada debido a su propensión a ser utilizada directamente o a través de sus operaciones como instrumento para el lavado de activos, canalización de recursos hacia la realización de actividades terroristas y/o financiamiento de armas de destrucción masiva, o cuando se pretenda la ocultación de bienes derivados de tales actividades. El riesgo LA/FT se materializa a través de los riesgos asociados, que incluyen los riesgos legales, reputacionales, operativos y de contagio a los que está expuesta la entidad, con el consiguiente efecto económico negativo que esto puede representar para su estabilidad financiera cuando se utiliza para dichas actividades.

4. ALCANCE DEL SISTEMA DE GESTIÓN DE RIESGOS DE LAVADO DE ACTIVOS Y FINANCIAMIENTO DEL

TERRORISMO

(SARLAFT) El SARLAFT, como sistema de administración que debe ser implementado por las instituciones supervisadas para gestionar el riesgo LA/FT, se implementa a través de las etapas y elementos que se describen a continuación, correspondiendo el primero a las fases o pasos sistemáticos e interrelacionados a través de los cuales las entidades administran el riesgo LA/FT,

y el segundo el conjunto de componentes a través de los cuales se implementa la gestión del riesgo LA/FT en las instituciones de manera organizada y metódica. El SARLAFT debe abarcar todas las actividades que realicen las instituciones supervisadas en el desarrollo de su objeto social principal y además prever procedimientos y metodologías eficaces para que las instituciones se protejan de ser utilizadas directamente, es decir, a través de sus accionistas, beneficiarios finales, administradores en los términos del Art. 22 de la Ley 222 de 1995, empleados, proveedores y partes vinculadas, como instrumento para el lavado de activos, canalización de recursos hacia la realización de actividades terroristas, o cuando se pretenda el ocultamiento de activos provenientes de dichas actividades. Es deber de las instituciones supervisadas revisar periódicamente las etapas y elementos del SARLAFT a fin de realizar los ajustes que consideren necesarios para su funcionamiento eficaz, eficiente y oportuno. Esta revisión deberá realizarse, por lo menos, cada seis meses, sin perjuicio de que pueda realizarse en un plazo menor por decisión del directorio de la institución supervisada de acuerdo a su análisis de riesgo LA/FT o por decisión de esta Superintendencia en el desarrollo de sus actividades de supervisión. En todo caso, las instituciones supervisadas deberán llevar a cabo esta revisión siempre que se presenten situaciones que requieran la adopción de medidas efectivas para fortalecer el SARLAFT. Las instituciones supervisadas deberán tener a disposición de esta Superintendencia los medios comprobables a través de los cuales se demuestre la realización de dicha revisión. Los SARLAFT implementados y desarrollados por las instituciones supervisadas que se encuadren en las situaciones previstas en los arts. 260 y 261 del Código de Comercio y el art. 28 de la Ley 222 de 1995 deben tener características similares

a fin de eliminar posibles arbitrajes entre ellas. 4.1. Etapas del SARLAFT El SARLAFT implementado por las instituciones supervisadas deberá incluir, al menos, las siguientes etapas: 4.1.1. Identificación 4.1.2. Medición o evaluación 4.1.3. Control 4.1.4. Seguimiento 4.1.1. Identificación El SARLAFT deberá permitir a las entidades supervisadas identificar los riesgos de LA/FT inherentes al desarrollo de su actividad, teniendo en cuenta los factores de riesgo definidos en el presente Capítulo. Esta etapa debe llevarse a cabo antes de (i) el lanzamiento o uso de cualquier producto, el uso de nuevas prácticas comerciales, incluidos nuevos canales de prestación de servicios, y el uso de tecnologías nuevas o en desarrollo para productos nuevos o existentes; ii) la modificación de las características del producto; (iii) la incursión en un nuevo mercado; (iv) la apertura de operaciones en nuevas jurisdicciones, y (v) el lanzamiento o modificación de canales de distribución.

PARTE I – TÍTULO IV – CAPÍTULO IV PÁGINA 4

Circular Externa 027 de 2020 Septiembre 2020 SUPERINTENDENCIA FINANCIERA DE COLOMBIA Como resultado de esta etapa, las entidades supervisadas deben ser capaces de identificar los factores de riesgo y los riesgos asociados a los que están expuestas en relación con el riesgo de LA/FT. Para identificar el riesgo de LA/FT, las entidades supervisadas deben, como mínimo: 4.1.1.1. Establecer metodologías para la segmentación de los factores de riesgo y segmentarlos de acuerdo con dichas

metodologías. 4.1.1.2. Establecer metodologías para la identificación del riesgo LA/FT y sus riesgos asociados respecto de cada uno de los factores de riesgo segmentados, teniendo en cuenta el contexto interno y externo de la entidad supervisada. 4.1.1.3. Con base en las metodologías establecidas en el desarrollo del apartado anterior, identificar las formas en que se puede presentar el riesgo de LA/FT, teniendo en cuenta las variables consideradas para cada uno de los factores de riesgo. 4.1.2. Medición o evaluación Una vez concluida la etapa de identificación, el SARLAFT debe permitir a las instituciones supervisadas medir la probabilidad de ocurrencia del riesgo inherente de LA/FT frente a cada uno de los factores de riesgo, así como el impacto si se materializa a través de los riesgos asociados. Estas mediciones pueden ser de naturaleza cualitativa o cuantitativa. Como resultado de esta etapa, las entidades deben ser capaces de establecer el perfil de riesgo de LA/FT inherente a la entidad y las mediciones agregadas en cada factor de riesgo y en sus riesgos asociados. Para medir el riesgo de LA/FT, las entidades deben, como mínimo: 4.1.2.1. Establecer metodologías de medición o evaluación con el fin de determinar la probabilidad de ocurrencia del riesgo de LA/FT y su impacto si se materializa frente a cada uno de los factores de riesgo y riesgos asociados, y aplicarlas para realizar una medición o evaluación consolidada de los factores de riesgo y riesgos asociados. 4.1.3. Control En esta etapa, las instituciones supervisadas deben tomar las medidas adecuadas para controlar el riesgo inherente al que están expuestas, debido a los factores de riesgo y riesgos asociados.

Como resultado de esta etapa, la entidad debe establecer el perfil de riesgo residual de LA/FT. El control debe traducirse en una disminución de la probabilidad de ocurrencia y/o del impacto del riesgo de LA/FT si se materializa. Para controlar el riesgo de LA/FT, las entidades deben, como mínimo: 4.1.3.1. Establecer las metodologías para definir las medidas de control de riesgos de LA/FT. Dichas metodologías deben garantizar el adecuado diseño y ejecución de las medidas de control de riesgos de LA/FT. 4.1.3.2. Aplicar las metodologías establecidas en el desarrollo del subapartado anterior sobre cada uno de los factores de riesgo y riesgos asociados. 4.1.3.3. Establecer una metodología que permita evaluar, con una periodicidad semestral mínima, el diseño y la eficacia de las medidas de control teniendo en cuenta, como mínimo, sus atributos de cobertura, frecuencia y operación. 4.1.3.4. Establecer los niveles de exposición en función de la calificación otorgada a los factores de riesgo en la fase de medición. 4.1.4. Seguimiento Esta etapa debe permitir a las instituciones supervisadas dar seguimiento al perfil de riesgo y, en general, al SARLAFT. Asimismo, debe permitir a las entidades comparar la evolución del perfil de riesgo inherente con el perfil de riesgo residual de LA/FT de la entidad. Como resultado de esta etapa, la institución debe implementar una matriz de riesgos y reportes que permitan establecer la evolución de su riesgo, así como la eficiencia de los controles implementados. Para supervisar el riesgo de LA/FT, las entidades deben, como mínimo:

4.1.4.1. Desarrollar un proceso de seguimiento eficaz que facilite la rápida detección y corrección de las deficiencias de SARLAFT. Dicho seguimiento deberá tener una periodicidad acorde con el perfil de riesgo residual LA/FT de la entidad, pero en todo caso, deberá realizarse al menos cada s