SFC - Anexo Circular Externa 11 de 2022 (2)

SUPERINTENDENCIA FINANCIERA DE COLOMBIA

PARTE I

INSTRUCCIONES GENERALES APLICABLES A LAS ENTIDADES VIGILADAS

TÍTULO IV DEBERES Y RESPONSABILIDADES CAPÍTULO IV: INSTRUCCIONES RELATIVAS A LA ADMINISTRACIÓN DEL RIESGO DE LAVADO DE ACTIVOS Y DE

LA FINANCIACIÓN DEL TERRORISMO.

CONTENIDO

CONSIDERACIONES GENERALES

1. DEFINICIONES

2. ÁMBITO DE APLICACIÓN 2.1. Funcionario responsable de las medidas de control del lavado de activos y financiación del terrorismo.

3. DEFINICIÓN DEL RIESGO DE LA/FT

4. ALCANCE DEL SISTEMA DE ADMINISTRACIÓN DEL RIESGO DE LAVADO DE ACTIVOS Y DE LA FINANCIACIÓN

DEL TERRORISMO 4.1. Etapas del SARLAFT 4.2. Elementos del SARLAFT

5. REGLAS ESPECIALES PARA TRANSFERENCIAS 5.1. Transferencias internacionales 5.2. Transferencias nacionales 5.3. Entidades vigiladas autorizadas para prestar servicios de transferencia de dinero

5.4. Documentación

6. SANCIONES FINANCIERAS DIRIGIDAS

7. PRÁCTICA INSEGURA PARTE I – TÍTULO IV – CAPÍTULO IV Circular Externa 011 de 2022 Mayo de 2022

SUPERINTENDENCIA FINANCIERA DE COLOMBIA

PARTE I

INSTRUCCIONES GENERALES APLICABLES A LAS ENTIDADES VIGILADAS

TÍTULO IV DEBERES Y RESPONSABILIDADES CAPÍTULO IV: INSTRUCCIONES RELATIVAS A LA ADMINISTRACIÓN DEL RIESGO DE LAVADO DE ACTIVOS Y DE

LA FINANCIACIÓN DEL TERRORISMO CONSIDERACIONES GENERALES El lavado de activos y la financiación del terrorismo representan una gran amenaza para la estabilidad del sistema financiero y la integridad de los mercados por su carácter global y las redes utilizadas para el manejo de tales recursos. Tal circunstancia destaca la importancia y urgencia de combatirlos, resultando esencial el papel que para tal propósito deben desempeñar las entidades vigiladas por la SFC y el supervisor financiero. Partiendo de ello, esta Superintendencia requiere que las entidades vigiladas implementen un Sistema de Administración del Riesgo de Lavado de Activos y Financiación del Terrorismo –SARLAFT– con el fin de prevenir que sean utilizadas para: (i) dar apariencia de legalidad a activos provenientes de actividades delictivas y (ii) la canalización de recursos hacia la realización de actividades terroristas. Así, en desarrollo de los arts. 102 y siguientes del EOSF, y en consonancia con el art. 22 de la Ley 964 de 2005, la SFC establece los criterios y parámetros mínimos que las entidades vigiladas deben atender en el diseño, implementación y funcionamiento del mencionado sistema. El SARLAFT se compone de dos fases, a saber: la primera, que corresponde a la prevención del riesgo y cuyo objetivo es prevenir que se introduzcan al sistema financiero recursos provenientes de actividades relacionadas con el lavado de activos y/o de la financiación del terrorismo (en adelante, LA/FT); y la segunda, que corresponde al control y cuyo propósito consiste en detectar y reportar las operaciones que se pretendan realizar o se hayan realizado, para intentar dar apariencia

de legalidad a operaciones vinculadas al LA/FT. La administración del riesgo de LA/FT tiene una naturaleza diferente a la de los procesos de administración de los riesgos típicamente financieros (crédito, técnicos de seguros, mercado, liquidez, etc.), pues mientras que los mecanismos para la administración del primero se dirigen a prevenirlo, detectarlo y reportarlo -oportuna y eficazmente-, los mecanismos para la administración de los segundos se dirigen a asumirlos íntegra o parcialmente en función del perfil de riesgo de la entidad y la relación rentabilidad / riesgo.

1. DEFINICIONES Para efectos del presente Capítulo, los siguientes términos deben entenderse de acuerdo con las definiciones que a continuación se establecen: 1.1. Agentes económicos: Son todas las personas naturales o jurídicas y estructuras sin personería jurídica que realizan operaciones económicas dentro de un sistema. 1.2. Alta Gerencia: Son las personas responsables de dirigir, ejecutar y supervisar las operaciones de la entidad bajo la dirección de la junta directiva. 1.3. Banco pantalla: Es una institución financiera que: (i) no tiene presencia física en el país en el que está constituido y recibe licencia, (ii) no pertenece a un conglomerado financiero que esté sujeto a una supervisión comprensiva y consolidada por parte de esta Superintendencia, y (iii) no es objeto de inspección, vigilancia y/o control o un grado de supervisión equivalente, por parte del supervisor de la jurisdicción donde se encuentre domiciliado o constituido. 1.4. Beneficiario final: Son las personas naturales a las que se refiere el art. 631-5 del Estatuto Tributario, o cualquier

norma que lo modifique o sustituya. 1.5. Canales de distribución: Se entienden como tales los regulados en la Parte I, Título II, Capítulo I de la CBJ. 1.6. Cliente: Es toda persona natural o jurídica y estructuras sin personería jurídica con la cual la entidad establece y mantiene una relación contractual o legal para el suministro de cualquier producto propio de su actividad. 1.7. Contexto externo: Es el ambiente externo en el cual la organización busca alcanzar sus objetivos, que puede incluir: (i) el ambiente cultural, social, político, legal, reglamentario, financiero, tecnológico, económico, natural y competitivo, bien sea internacional, nacional, regional o local; (ii) impulsores clave y tendencias que tienen impacto en los objetivos de la organización; y (iii) relaciones con personas y organizaciones que puede afectar, verse afectada, o percibirse a sí misma como afectada por una decisión o una actividad, y sus percepciones y valores. 1.8. Contexto interno: Es el ambiente interno en el cual la organización busca alcanzar sus objetivos, que puede incluir: (i) el gobierno, estructura organizacional, funciones y responsabilidades; (ii) políticas, objetivos y estrategias implementadas para lograrlos; (iii) las capacidades, entendidas en términos de recursos y conocimiento (vr.gr. capital, tiempo, personas, procesos, sistemas y tecnologías); (iv) sistemas de información, flujos de información y procesos para la toma de decisiones (tanto formales como informales); (v) la cultura de la organización; (vi) normas, directrices y modelos adoptados por la organización; y (vii) formas y extensión de las relaciones contractuales. 1.9. Corresponsalía trasnacional: Es la relación contractual entre dos instituciones financieras, el primero denominado

"establecimiento corresponsal" y el segundo “establecimiento representado". Las instituciones financieras deben encontrarse en jurisdicciones diferentes. Son "establecimientos corresponsales" las entidades que le ofrecen/prestan determinados servicios a otras instituciones financieras y "establecimiento representado" aquellos que utilizan/reciben los servicios contratados con el "establecimiento corresponsal".

PARTE I – TÍTULO IV – CAPÍTULO IV PÁGINA 1

Circular Externa 011 de 2022 Mayo de 2022 SUPERINTENDENCIA FINANCIERA DE COLOMBIA 1.10. Empleados: Son aquellas personas naturales que se obligan a prestar un servicio a otra persona, natural o jurídica, bajo la continuada dependencia o subordinación de la segunda y mediante remuneración 1.11. Entidades beneficiarias: Son aquellas entidades que reciben una transferencia electrónica de una entidad que hace la orden, directamente o a través de una entidad intermediaria, y suministra los fondos al beneficiario. 1.12. Entidades intermediarias: Son aquellas entidades vigiladas en una cadena en serie o de pago de cobertura, que reciben y transmiten una transferencia electrónica en nombre de la entidad financiera que hace la orden y la entidad beneficiaria u otra entidad intermediaria. 1.13. Entidades ordenantes: Son aquellas entidades vigiladas que inician la transferencia electrónica y transfieren los fondos al recibir la respectiva solicitud del ordenante. 1.14. Estructuras sin personería jurídica: Son aquellas estructuras que se encuentran previstas en el núm. 6 del artículo 1 de la Resolución 000164 del 27 de diciembre de 2021 expedida por la Unidad Administrativa Especial Dirección de Impuestos y Aduanas Nacionales – DIAN, o cualquier norma que lo modifique o sustituya.

En todo caso, en la aplicación de los procedimientos de conocimiento del cliente se deben observar los lineamientos previstos en el subnumeral 4.2.2.2.1. del presente Capítulo. 1.15. Factores de riesgo: Son los agentes generadores del riesgo de LA/FT. Para efectos del SARLAFT las entidades vigiladas deben tener en cuenta como mínimo los siguientes: 1.15.1. Clientes y usuarios 1.15.2. Productos 1.15.3. Canales de distribución 1.15.4. Jurisdicciones 1.16. Financiación del terrorismo: Es el conjunto de actividades encaminadas a canalizar recursos lícitos o ilícitos para promover, sufragar o patrocinar individuos, grupos o actividades terroristas. 1.17. Lavado de activos: Es el conjunto de actividades encaminadas a ocultar el origen ilícito o a dar apariencia de legalidad a recursos obtenidos producto de la ejecución de actividades ilícitas. 1.18. Listas internacionales vinculantes para Colombia: Son aquellas listas de personas y entidades asociadas con organizaciones terroristas que son vinculantes para Colombia conforme al Derecho Internacional, incluyendo pero sin limitarse a las Resoluciones 1267 de 1999, 1988 de 2011, 1373 de 2001, 1718 y 1737 de 2006 y 2178 de 2014 del Consejo de Seguridad de las Naciones Unidas, a todas aquellas que le sucedan, relacionen y complementen, y cualquiera otra lista que se adopte en el país. 1.19. Mandatario: Es aquella persona que se obliga a celebrar o ejecutar uno o más actos por cuenta de otra. 1.20. Matriz de riesgo: Es una herramienta que facilita una evaluación de riesgos holística, que debe cumplir con las

disposiciones del subnumeral 4.2.2.3.5. del presente Capítulo. 1.21. Personas expuestas políticamente: Corresponde a las personas definidas en el art. 2.1.4.2.3. del Decreto 1081 de 2015, y demás normas que lo modifiquen, complementen, sustituyan o adicionen. 1.22. Personas expuestas políticamente extranjeras: Corresponde a las personas definidas en el art. 2.1.4.2.9. del Decreto 1081 de 2015, y demás normas que lo modifiquen, complementen, sustituyan o adicionen. 1.23. Potencial cliente: Es la persona natural o jurídica o estructura sin personería jurídica que se encuentra en la fase previa de tratativas preliminares con la entidad vigilada respecto de los productos o servicios ofrecidos por esta. 1.24. Producto: Son las operaciones legalmente autorizadas que pueden adelantar las entidades vigiladas mediante la celebración de un contrato (vr.gr. cuenta corriente o de ahorros, seguros, inversiones, CDT, giros, emisión de deuda, compra venta de valores, negocios fiduciarios, etc.). 1.25. Proveedores: Son aquellas personas naturales o jurídicas que proveen o abastecen de bienes o servicios necesarios a una entidad vigilada, para el desarrollo de su actividad y funcionamiento, a través de la celebración de un contrato. 1.26. Riesgos asociados al LA/FT: Son los riesgos a través de los cuales se materializa el riesgo de LA/FT. Estos son: reputacional, legal operativo y de contagio. 1.26.1. Riesgo reputacional: Es la posibilidad de pérdida en que incurre una entidad por desprestigio, mala imagen,

publicidad negativa, cierta o no, respecto de la institución y sus prácticas de negocios, que cause pérdida de clientes, disminución de ingresos o procesos judiciales. 1.26.2. Riesgo legal: Es la posibilidad de pérdida en que incurre una entidad al ser sancionada u obligada a indemnizar daños como resultado del incumplimiento de normas o regulaciones y obligaciones contractuales. Surge también como consecuencia de fallas en los contratos y transacciones, derivadas de actuaciones malintencionadas, negligencia o actos involuntarios que afectan la formalización o ejecución de contratos o transacciones. 1.26.3. Riesgo operativo: Es la posibilidad de incurrir en pérdidas por deficiencias, fallas o inadecuaciones, en el recurso humano, los procesos, la tecnología, la infraestructura o por la ocurrencia de acontecimientos externos. Esta definición incluye el riesgo legal y reputacional, asociados a tales factores. 1.26.4. Riesgo de contagio: Es la posibilidad de pérdida que una entidad puede sufrir, directa o indirectamente, por una acción o experiencia de un vinculado. El vinculado es el relacionado o asociado e incluye personas naturales o jurídicas o estructuras sin personería jurídica que tienen posibilidad de ejercer influencia sobre la entidad. 1.27. Riesgo inherente: Es el nivel de riesgo propio de la actividad, sin tener en cuenta el efecto de los controles.

PARTE I – TÍTULO IV – CAPÍTULO IV PÁGINA 2

Circular Externa 011 de 2022 Mayo de 2022 SUPERINTENDENCIA FINANCIERA DE COLOMBIA 1.28. Riesgo residual o neto: Es el nivel resultante del riesgo después de aplicar los controles.

PARTE I – TÍTULO IV – CAPÍTULO IV PÁGINA 2

Circular Externa 011 de 2022 Mayo de 2022 SUPERINTENDENCIA FINANCIERA DE COLOMBIA 1.29. Segmentación: Es el proceso por medio del cual se lleva a cabo la separación de elementos en grupos homogéneos al interior de ellos y heterogéneos entre ellos. La separación se fundamenta en el reconocimiento de diferencias significativas en sus características (variables de segmentación). 1.30. Servicios: Son todas aquellas interacciones de las entidades sometidas a inspección y vigilancia de la SFC con personas o estructuras sin personería jurídica diferentes a sus clientes. 1.31. Transferencia: Es la transacción efectuada por una persona natural o jurídica o estructura sin personería jurídica denominada “ordenante”, a través de una entidad autorizada en la respectiva jurisdicción para realizar transferencias nacionales y/o internacionales, mediante movimientos electrónicos o contables, con el fin de que una suma de dinero se ponga a disposición de una persona natural o jurídica o estructura sin personería jurídica denominada “beneficiaria”, en otra entidad autorizada para realizar este tipo de operaciones. El ordenante y el beneficiario pueden ser la misma persona. 1.32. Usuarios: Son aquellas personas naturales o jurídicas o estructuras sin personería jurídica a las que, sin ser clientes, la entidad les presta un servicio. 1.33. Vehículos de inversión: Son aquellas estructuras sin personería jurídica que son administradas por entidades vigiladas, tales como: patrimonios autónomos, fondos de inversión, fondos voluntarios de pensión, fondos de pensiones y cesantías, entre otros.

1.34. Vinculados: Son aquellos que cumplen alguno de los criterios previstos en el artículo 2.39.3.1.2. del Decreto 2555 de 2010 en los términos establecidos en dicho artículo.

2. ÁMBITO DE APLICACIÓN Corresponde a las entidades vigiladas diseñar e implementar un SARLAFT efectivo de acuerdo con los criterios y parámetros mínimos exigidos en este Capítulo, sin perjuicio de advertir que de acuerdo con el literal e. del numeral 2 del art. 102 del EOSF debe estar en consonancia con los estándares internacionales sobre la materia, especialmente los proferidos por el GAFI - GAFILAT.

Salvo en lo dispuesto en el numeral 2.1. de este Capítulo, las siguientes entidades se encuentran exceptuadas de la aplicación de las instrucciones contenidas en el presente Capítulo: el Fondo de Garantías de Instituciones Financieras “Fogafin”, el Fondo de Garantías de Entidades Cooperativas “Fogacoop”, el Fondo Nacional de Garantías S.A. “F.N.G.”, los fondos mutuos de inversión sometidos a vigilancia permanente de la SFC, las sociedades calificadoras de valores y/o riesgo, las oficinas de representación de instituciones financieras y de reaseguros del exterior, las sociedades corredoras de seguros, los intermediarios de reaseguros, las oficinas de representación de instituciones del mercado de valores del exterior, los organismos de autorregulación, los INFIS, las sociedades de financiación colaborativa a través de valores, las bolsas de valores y los sistemas de negociación o registro de valores que realicen la actividad de financiación colaborativa

(“SOFICO”), los proveedores de infraestructura de conformidad con la definición del art. 11.2.1.6.4. del Decreto 2555 de 2010, con excepción de los almacenes generales de depósito y los administradores de sistemas de pago de bajo valor. Estas excepciones no afectan el deber legal de dichas entidades de cumplir lo establecido en los arts. 102 a 107 del EOSF, en lo que les resulte pertinente de acuerdo con su actividad, especialmente respecto al envío de los reportes de transacciones en efectivo, clientes exonerados y ROS a la UIAF para lo cual deben emplear los documentos técnicos e instructivos correspondientes, anexos al presente capítulo. Igualmente, se encuentran exceptuadas de las presentes instrucciones las entidades administradoras del régimen de prima media con prestación definida, excepto aquellas que se encuentran autorizadas por la ley para recibir nuevos afiliados. Las entidades sometidas a la inspección y vigilancia de la SFC que deban implementar el SARLAFT, y que en el desarrollo de su actividad pretendan vincular como clientes a entidades vigiladas por esta Superintendencia, se encuentran facultadas para exceptuar del cumplimiento de las instrucciones relativas al conocimiento del cliente a tales clientes. El SARLAFT que implementen las entidades vigiladas en desarrollo de lo dispuesto en las presentes instrucciones debe atender a la naturaleza, objeto social y demás características particulares de cada una de ellas. 2.1. Funcionario responsable de las medidas de control del lavado de activos y financiación del terrorismo De acuerdo con el numeral 3 del art. 102 del EOSF, las entidades vigiladas deben diseñar y poner en práctica procedimientos específicos para el control del riesgo de LA/FT y designar funcionarios responsables de verificar el

adecuado cumplimiento de dichos procedimientos. Para tal efecto, las entidades vigiladas exceptuadas de la aplicación de las demás instrucciones establecidas en este Capítulo, de acuerdo con lo establecido en el numeral 2 (en adelante entidades vigiladas exceptuadas), deben atender las siguientes instrucciones: 2.1.1. Funciones

PARTE I – TÍTULO IV – CAPÍTULO IV PÁGINA 3

Circular Externa 011 de 2022 Mayo de 2022 SUPERINTENDENCIA FINANCIERA DE COLOMBIA Las entidades vigiladas exceptuadas deben designar un funcionario, con su respectivo suplente, responsable de la administración de las medidas de control diseñadas para prevenir que en la realización de sus operaciones puedan ser utilizadas como instrumento para el ocultamiento, manejo, inversión o aprovechamiento en cualquier forma de dinero u otros bienes provenientes de actividades delictivas o destinados a su financiación, o para dar apariencia de legalidad a las actividades delictivas o a las transacciones y fondos vinculados con las mismas, el cual debe: 2.1.1.1. Participar en el diseño de los procedimientos contra el LA/FT. 2.1.1.2. Velar por el cumplimiento de dichos procedimientos y por la implementación de los correctivos establecidos para superar las deficiencias identificadas. 2.1.1.3. Presentar informes de gestión a la junta directiva u órgano que haga sus veces con una periodicidad mínima semestral. En caso de que por su naturaleza jurídica no exista dicho órgano, estas funciones corresponderán al representante legal.

2.1.1.4. Proponer a la administración la creación y actualización de manuales de procedimientos y velar por su divulgación a los funcionarios de la respectiva entidad. 2.1.1.5. Evaluar los informes de auditoría interna y externa de la entidad y diseñar las medidas para afrontar las deficiencias identificadas en los mismos, respecto a las medidas de control de los riesgos de LA/FT. 2.1.1.6. Atender y coordinar cualquier requerimiento, solicitud, o diligencia de autoridad competente judicial o administrativa en esta materia. 2.1.1.7. Velar por el cumplimiento de lo establecido en el numeral 2 del art. 102 del EOSF. 2.1.1.8. Cumplir las obligaciones relacionadas con sanciones financieras dirigidas, establecidas en este Capítulo. 2.1.1.9. Cumplir las obligaciones relacionadas con la consulta de sus clientes en listas vinculantes para Colombia de conformidad con el subnumeral 4.2.2.1.4. del presente Capítulo. Las entidades vigiladas exceptuadas no deben contar con un oficial de cumplimiento de acuerdo con las disposiciones contenidas en el subnumeral 4.2.4.3 del presente Capítulo. 2.1.2. Deberes respecto del funcionario responsable Las entidades vigiladas exceptuadas deben: 2.1.2.1. Designar al funcionario responsable principal, con su respectivo suplente, mediante la junta directiva o el órgano que haga sus veces. En caso de que por su naturaleza jurídica no exista dicho órgano, el representante legal deberá designarlo. 2.1.2.2. Garantizar que las labores adicionales que se asignen al funcionario responsable no generen conflictos de interés

con las funciones listadas en el subnumeral 2.1.1 de este Capítulo. 2.1.2.3. Verificar que el funcionario responsable cuente con conocimientos suficientes del régimen legal y los estándares internacionales en materia de LA/FT. 2.1.2.4. Verificar que el funcionario responsable no se encuentre en una lista internacional vinculante para Colombia. 2.1.2.5. Registrar, dentro de los 15 días calendario siguientes a su designación, al funcionario responsable principal o suplente, según sea el caso. Para ello, se debe enviar la información correspondiente al nombre, al número de identificación, al teléfono y al correo electrónico de dichos funcionarios a través de los canales dispuestos por la SFC para tal efecto. Será responsabilidad del representante legal de la entidad el diligenciamiento y la verificación de los datos descritos en este subnumeral.

3. DEFINICIÓN DEL RIESGO DE LA/FT Para los efectos del presente Capítulo, se entiende por riesgo de LA/FT la posibilidad de pérdida o daño que puede sufrir una entidad vigilada por su propensión a ser utilizada directamente o a través de sus operaciones como instrumento para el lavado de activos, canalización de recursos hacia la realización de actividades terroristas y/o financiación de armas de destrucción masiva, o cuando se pretenda el ocultamiento de activos provenientes de dichas actividades. El riesgo de LA/FT se materializa a través de los riesgos asociados, estos son: el legal, reputacional, operativo y de contagio, a los que se expone la entidad, con el consecuente efecto económico negativo que ello puede representar para su estabilidad financiera cuando es utilizada para tales actividades.

4. ALCANCE DEL SISTEMA DE ADMINISTRACIÓN DEL RIESGO DE LAVADO DE ACTIVOS Y DE LA FINANCIACIÓN

DEL TERRORISMO El SARLAFT, como sistema de administración que deben implementar las entidades vigiladas para gestionar el riesgo de LA/FT, se instrumenta a través de las etapas y elementos que más adelante se describen, correspondiendo las primeras a las fases o pasos sistemáticos e interrelacionados mediante los cuales las entidades administran el riesgo de LA/FT, y los segundos al conjunto de componentes a través de los cuales se instrumenta de forma organizada y metódica la administración del riesgo de LA/FT en las entidades. El SARLAFT debe abarcar todas las actividades que realizan las entidades vigiladas en desarrollo de su objeto social principal y prever, además, procedimientos y metodologías efectivas para que las entidades se protejan de ser utilizadas en forma directa, es decir, a través de sus accionistas, beneficiarios finales, administradores en los términos del art. 22 de la ley 222 de 1995, empleados, proveedores y vinculados, como instrumento para el lavado de activos, canalización de recursos hacia la realización de actividades terroristas, o cuando se pretenda el ocultamiento de activos provenientes de dichas actividades. Es deber de las entidades vigiladas revisar periódicamente las etapas y elementos del SARLAFT a fin de realizar los ajustes que consideren necesarios para su efectivo, eficiente y oportuno funcionamiento. Esta revisión se debe llevar a cabo, como mínimo, semestralmente, sin perjuicio de que se pueda hacer en un periodo inferior por decisión de la junta directiva de la entidad vigilada conforme a su análisis de riesgo de LA/FT o de esta Superintendencia en desarrollo de sus actividades de supervisión. En todo caso, las entidades vigiladas deberán realizar esta revisión siempre que se presenten situaciones que

requieran la adopción de medidas efectivas para fortalecer el SARLAFT. Las entidades vigiladas deben tener a disposición de esta Superintendencia los medios verificables a través de los cuales se demuestre la realización de dicha revisión. El SARLAFT que implementen y desarrollen las entidades vigiladas que se encuentren en las situaciones previstas en los arts. 260 y 261 del C.Cio. y el art. 28 de la Ley 222 de 1995 debe tener características similares con el fin de eliminar posibles arbitrajes entre ellas.

PARTE I – TÍTULO IV – CAPÍTULO IV PÁGINA 4

Circular Externa 011 de 2022 Mayo de 2022 SUPERINTENDENCIA FINANCIERA DE COLOMBIA 4.1.4.1. Desarrollar un proceso de seguimiento efectivo que facilite la rápida detección y corrección de las deficiencias del SARLAFT. Dicho seguimiento debe tener una periodicidad acorde con el perfil de riesgo residual de LA/FT de la entidad, pero en todo caso, debe realizarse con una periodicidad mínima semestral. 4.1.4.2. Realizar el seguimiento y comparación del riesgo inherente y residual de cada factor de riesgo y de los riesgos asociados. 4.1.4.3. Asegurar que los controles sean comprensivos de todos los riesgos y que cuenten con un diseño e implementación adecuados, de tal forma que su funcionamiento sea oportuno, efectivo y eficiente. En el momento en que las entidades determinen que los controles implementados no están siendo efectivos, las entidades deben implementar, de manera inmediata, un plan de acción de ajuste para efectos de garantizar la efectividad de los mismos.

4.1.4.4. Establecer indicadores descriptivos y/o prospectivos que evidencien potenciales fuentes de riesgo de LA/FT. 4.1.4.5. Asegurar que los riesgos residuales se encuentren en los niveles de aceptación establecidos por la entidad. 4.2. Elementos del SARLAFT El SARLAFT que implementen las entidades vigiladas debe tener como mínimo los siguientes elementos, los cuales deben desarrollar, siempre que resulte aplicable, las etapas del sistema: 4.2.1. Políticas 4.2.2. Procedimientos 4.2.3. Documentación 4.2.4. Estructura organizacional 4.2.5. Órganos de control 4.2.6. Infraestructura tecnológica 4.2.7. Divulgación de información 4.2.8. Capacitación 4.2.1. Políticas Son los lineamientos generales que deben adoptar las entidades vigiladas en relación con el SARLAFT. Cada una de las etapas y elementos del sistema debe contar con unas políticas claras y efectivamente aplicables. Las políticas que se adopten deben permitir el eficiente, efectivo y oportuno funcionamiento del SARLAFT y traducirse en reglas de conducta y procedimientos que orienten la actuación de la entidad y de sus accionistas. Las políticas deben incorporarse en un código de ética que oriente la actuación de los funcionarios de la entidad para el funcionamiento del SARLAFT y establezca procedimientos sancionatorios frente a su inobservancia. Así mismo, debe establecer las consecuencias que genera su incumplimiento. Las políticas que adopten las entidades deben cumplir con los siguientes requisitos mínimos: 4.2.1.1. Impulsar a nivel institucional la cultura en materia de administración del riesgo de LA/FT.

4.2.1.2. Consagrar el deber de los órganos de administración y de control de las entidades vigiladas, del oficial de cumplimiento, así como de todos los funcionarios, de asegurar el cumplimiento de los reglamentos internos y demás disposiciones relacionadas con el SARLAFT. 4.2.1.3. Establecer lineamientos para la prevención y resolución de conflictos de interés. 4.2.1.4. Consagrar lineamientos más exigentes de vinculación de clientes y de monitoreo de operaciones de personas nacionales o extranjeras que, por su perfil o por las funciones que desempeñan, pueden exponer en mayor grado a la entidad al riesgo de LA/FT. 4.2.1.5. Señalar los lineamientos que debe adoptar la entidad frente a los factores de riesgo y los riesgos asociados de LA/FT. 4.2.1.6. Garantizar la reserva de la información reportada conforme lo establece el art. 105 del EOSF. 4.2.1.7. Establecer las consecuencias que genera el incumplimiento del SARLAFT. 4.2.1.8. Consagrar la exigencia de que los funcionarios antepongan el cumplimiento de las normas en materia de administración de riesgo de LA/FT al logro de las metas comerciales. 4.2.2. Procedimientos Las entidades deben establecer los procedimientos aplicables para la adecuada implementación y funcionamiento de los elementos y las etapas del SARLAFT. 4.2.2.1. Requisitos que deben cumplir los procedimientos: 4.2.2.1.1. Instrumentar las diferentes etapas y elementos del SARLAFT, que se pueden realizar a través de la parametrización de las herramientas tecnológicas establecidas por la entidad para soportar el funcionamiento del mismo.

4.2.2.1.2. Identificar los cambios y la evolución de los controles y de los perfiles de riesgo inherente y residual. 4.2.2.1.3. Atender los requerimientos de información por parte de autoridades competentes. 4.2.2.1.4. Dar cumplimiento a las obligaciones relacionadas con listas internacionales vinculantes para Colombia, de conformidad con el derecho internacional y disponer lo necesario para que se consulten en dichas listas: (i) al potencial

PARTE I – TÍTULO IV – CAPÍTULO IV PÁGINA 6

Circular Externa 011 de 2022 Mayo de 2022 SUPERINTENDENCIA FINANCIERA DE COLOMBIA cliente, (ii) a los beneficiarios finales del potencial cliente, siempre que el potencial cliente sea persona jurídica o estructura sin personería jurídica, (iii) a los accionistas y asociados del potencial cliente, siempre que potencial

PARTE I – TÍTULO IV – CAPÍTULO IV PÁGINA 6

Circular Externa 011 de 2022 Mayo de 2022

SUPERINTENDENCIA FINANCIERA DE COL