SFC - Anexo Circular Externa 14 de 2009 (3)

SUPERINTENDENCIA FINANCIERA DE COLOMBIA

7. SISTEMA DE CONTROL INTERNO 7.1 CONSIDERACIONES GENERALES Corresponde a los administradores de las entidades supervisadas (entendiendo por tales las sometidas a vigilancia o control de la Superintendencia Financiera de Colombia de conformidad con lo señalado en los artículos 72 y 73 del Decreto 4327 de 2005 y demás normas que los modifiquen o adicionen), realizar su gestión con la diligencia propia de un buen hombre de negocios. Por ello, compete a las juntas o consejos directivos o al órgano que haga sus veces, en calidad de administradores, definir las políticas y diseñar los procedimientos de control interno que deban implementarse, así como ordenar y vigilar que los mismos se ajusten a las necesidades de la entidad, permitiéndole desarrollar adecuadamente su objeto social y alcanzar sus objetivos, en condiciones de seguridad, transparencia y eficiencia. 7.2. ÁMBITO DE APLICACIÓN Todas las entidades supervisadas, ya sean matrices o subordinadas, deberán implementar o ajustar su SCI a los requisitos mínimos establecidos en el presente capítulo, en forma tal que el mismo resulte acorde con el tamaño de su organización (en términos de número de empleados, valor de los activos e ingresos, recursos captados del público, número de sucursales o agencias, entre otros.) y la naturaleza de las actividades propias de su objeto social, así como de las desarrolladas por cuenta de terceros, teniendo en cuenta la relación beneficio/costo.

Las entidades supervisadas que tengan la calidad de matrices deberán procurar que sus subordinadas (sean filiales o subsidiarias) tengan un adecuado SCI, para lo cual deberán emitir los lineamientos

generales mínimos que en su concepto deben aplicar, atendiendo la naturaleza, magnitud y demás características de las mismas. 7.3 DEFINICIÓN Y OBJETIVO DEL SISTEMA DE CONTROL INTERNO Se entiende por SCI el conjunto de políticas, principios, normas, procedimientos y mecanismos de verificación y evaluación establecidos por la junta directiva u órgano equivalente, la alta dirección y demás funcionarios de una organización para proporcionar un grado de seguridad razonable en cuanto a la consecución de los siguientes objetivos:

1. Mejorar la eficiencia y eficacia en las operaciones de las entidades supervisadas. Para el efecto, se entiende por eficacia la capacidad de alcanzar las metas y/o resultados propuestos; y por eficiencia la capacidad de producir el máximo de resultados con el mínimo de recursos, energía y tiempo. ii. Prevenir y mitigar la ocurrencia de fraudes, originados tanto al interior como al exterior de las organizaciones. iii. Realizar una gestión adecuada de los riesgos. iv. Aumentar la confiabilidad y oportunidad en la Información generada por la organización.
2. Dar un adecuado cumplimiento de la normatividad y regulaciones aplicables a la organización.

En la medida en que se logren los objetivos antes mencionados, el SCI brindará mayor seguridad a los diferentes grupos de interés que interactúan con la entidad. 7.4 PRINCIPIOS DEL SISTEMA DE CONTROL INTERNO Los principios del SCI constituyen los fundamentos y condiciones imprescindibles y básicas que garantizan su efectividad de acuerdo con la naturaleza de las operaciones autorizadas, funciones y características propias, y se aplican para cada uno de los aspectos que se tratan en el presente capítulo.

En consecuencia, las entidades, en el diseño e implementación o revisión o ajustes del SCI deben incluir estos principios, documentarlos con los soportes pertinentes y tenerlos a disposición de la SFC. Titulo I CAPITULO NOVENO Página 55 - 6 Obligaciones especiales de las entidades vigiladas Circular Externa 014 de 2009 Mayo 2009 SUPERINTENDENCIA FINANCIERA DE COLOMBIA 7.4.1 Autocontrol Es la capacidad de todos y cada uno de los funcionarios de la organización, independientemente de su nivel jerárquico para evaluar y controlar su trabajo, detectar desviaciones y efectuar correctivos en el ejercicio y cumplimiento de sus funciones, así como para mejorar sus tareas y responsabilidades. En consecuencia, sin perjuicio de la responsabilidad atribuible a los administradores en la definición de políticas y en la ordenación del diseño de la estructura del SCI, es pertinente resaltar el deber que les corresponde a todos y cada uno de los funcionarios dentro de la organización, quienes en desarrollo de sus funciones y con la aplicación de procesos operativos apropiados deberán procurar el cumplimiento de los objetivos trazados por la dirección, siempre sujetos a los límites por ella establecidos. 7.4.2 Autorregulación Se refiere a la capacidad de la organización para desarrollar en su interior y aplicar métodos, normas y procedimientos que permitan el desarrollo, implementación y mejoramiento del SCI, dentro del marco de las disposiciones legales aplicables. 7.4.3 Autogestión Apunta a la capacidad de la organización para interpretar, coordinar, ejecutar y evaluar de manera efectiva, eficiente y eficaz su funcionamiento. Basado en los principios mencionados, el SCI establece las acciones, las políticas, los métodos,

procedimientos y mecanismos de prevención, control, evaluación y de mejoramiento continuo de la entidad que le permitan tener una seguridad razonable acerca de la consecución de sus objetivos, cumpliendo las normas que la regulan. 7.5. ELEMENTOS DEL SISTEMA DE CONTROL INTERNO Para el cumplimiento de los principios y objetivos indicados con anterioridad, las entidades supervisadas deberán consolidar una estructura de control interno que considere por lo menos los elementos que se señalan a continuación: 7.5.1 Ambiente de Control El ambiente de control está dado por los elementos de la cultura organizacional que fomentan en todos los integrantes de la entidad principios, valores y conductas orientadas hacia el control. Es el fundamento de todos los demás elementos del SCI, dado que la eficacia del mismo depende de que las entidades cuenten con personal competente e inculquen en toda la organización un sentido de integridad y concientización sobre el control. Los elementos mínimos para crear un adecuado ambiente de control son:

1. Determinación formal por parte de la alta dirección de los principios básicos que rigen la entidad, los cuales deben constar en documentos que se divulguen a toda la organización. ii. Expedición de un código de conducta que incluya:  Valores y pautas explícitas de comportamiento.  Parámetros concretos determinados para el manejo de conflictos de interés, incluyendo expresamente, entre otros, los que regulen las operaciones con vinculados económicos, en adición a los que apliquen por disposición legal.  Mecanismos para evitar el uso de información privilegiada o reservada.  Órganos o instancias competentes para hacer seguimiento al cumplimiento del código.

 Sanciones por su inobservancia, teniendo en cuenta factores tales como reincidencias, pérdidas para los clientes o a la entidad, violaciones a límites, entre otros. En caso que algunos de los temas antes citados no se incluyan en el código de conducta deberán incluirse en el código de gobierno corporativo de la entidad o en un documento independiente, si así se considera pertinente dada su importancia para la organización. Titulo I CAPITULO NOVENO Página 55 - 7 Obligaciones especiales de las entidades vigiladas Circular Externa 014 de 2009 Mayo 2009 SUPERINTENDENCIA FINANCIERA DE COLOMBIA El código de conducta debe orientar la actuación de todos los funcionarios, quienes deben comprometerse explícitamente con su cumplimiento. iii. Adopción de procedimientos que propicien que los empleados en todos los niveles de la organización cuenten con los conocimientos, habilidades y conductas necesarios para el desempeño de sus funciones. La entidad debe contar con estándares debidamente documentados de las competencias, habilidades, aptitudes e idoneidad de sus funcionarios. Así mismo, debe determinar las políticas y prácticas de gestión humana que aplicará la entidad al realizar los procesos de selección, inducción, formación, capacitación, sistemas de compensación o remuneración y de evaluación del desempeño de sus empleados en todos sus niveles, las cuales deben ser diseñadas e implementadas para facilitar un efectivo control interno. iv. Determinación de una estructura organizacional que permita soportar el alcance del SCI y que defina claramente los niveles de autoridad y responsabilidad, precisando el alcance y límite de los mismos. La estructura organizacional debe estar armonizada con el tamaño y naturaleza de las

actividades de la entidad, soportando el alcance del SIC.

1. Establecimiento de objetivos que deben estar alineados con la misión, visión y objetivos estratégicos de la entidad, para que a partir de esta definición, se formule la estrategia y se determinen los correspondientes objetivos operativos, de reporte y de cumplimiento para la organización.

Estos objetivos deben ser difundidos a todos los niveles de la entidad, actualizándolos en forma periódica. La alta dirección de la entidad deberá transmitir a todos los niveles de la organización su compromiso y liderazgo respecto de los controles internos y los valores éticos, involucrando a todos los funcionarios para que asuman la responsabilidad que les corresponde frente al SCI. 7.5.2 Gestión de Riesgos Las entidades deben preservar la eficacia, eficiencia y efectividad de su gestión y capacidad operativa, así como salvaguardar los recursos que administren, para lo cual deberán contar con un sistema de administración de riesgos que permita la minimización de los costos y daños causados por éstos, con base en el análisis del contexto estratégico, así como la determinación de métodos para el tratamiento y monitoreo de sus riesgos, con el propósito de prevenir o evitar la materialización de eventos que puedan afectar el normal desarrollo de los procesos y el cumplimiento de los objetivos empresariales, o, en caso de que ello no resulte razonablemente posible, de mitigar su impacto. En el caso de las entidades vigiladas, éstas deben seguir las instrucciones especiales que en materia de gestión de ciertos riesgos se establecen en la presente circular y en la Circular Básica Financiera y Contable de la SFC (incluyendo entre otras, las normas sobre gestión de riesgos de mercado –SARM,

riesgo de crédito –SARC, riesgo operativo –SARO, riesgo de liquidez –SARL, riesgo de lavado de activos y de la financiación del terrorismoSARLAFT [que aplica también para los emisores de valores] y riesgo de garantías -SARG), según resulten aplicables en virtud del objeto social de la entidad, ajustándose a los plazos y condiciones específicos establecidos de manera especial para cada uno de ellos. En el caso de las entidades sometidas a control, para la administración de sus riesgos éstas deberán adelantar como mínimo los siguientes procedimientos1:

1. Identificar las amenazas que enfrenta la entidad y las fuentes de las mismas. ii. Autoevaluar los riesgos existentes en sus procesos, identificándolos y priorizándolos a través de un ejercicio de valoración cualitativa, teniendo en cuenta los factores propios de su entorno y la naturaleza de su actividad. 1 Para mayor orientación sobre este tema se puede acudir a la guía de COSO Integrado (Committe Sponsoring Organization of the Treadway Commission Committee of Sponsoring Organizations of the Treadway Commission and

Enterprise Risk Management — Integrated Framework). Titulo I CAPITULO NOVENO Página 55 - 8 Obligaciones especiales de las entidades vigiladas Circular Externa 014 de 2009 Mayo 2009 SUPERINTENDENCIA FINANCIERA DE COLOMBIA iii. Medir la probabilidad de ocurrencia de los riesgos y su impacto sobre los recursos de la entidad (económicos, humanos, entre otros), así como sobre su credibilidad y buen nombre, en caso de materializarse. Esta medición podrá ser cualitativa y, cuando se cuente con datos históricos, cuantitativa. iv. Identificar y evaluar con criterio conservador, los controles existentes y su efectividad,

mediante un proceso de valoración realizado con base en la experiencia y un análisis razonable y objetivo de los eventos ocurridos.

1. Construir los mapas de riesgos que resulten pertinentes, los cuales deben ser actualizados periódicamente, permitiendo visualizarlos de acuerdo con la vulnerabilidad de la organización a los mismos. vi. Implementar, probar y mantener un proceso para administrar la continuidad de la operación de la entidad, que incluya elementos como: prevención y atención de emergencias, administración de crisis, planes de contingencia para responder a las fallas e interrupciones específicas de un sistema o proceso y capacidad de retorno a la operación normal. vii. Divulgar entre los funcionarios que intervienen en los procesos respectivos, los mapas de riesgos y las políticas definidas para su administración. viii. Gestionar los riesgos en forma integral, aplicando diferentes estrategias que permitan llevarlos hacia niveles tolerables. Para cada riesgo se debe seleccionar la alternativa que presente la mejor relación entre el beneficio esperado y el costo en que se debe incurrir para su tratamiento. Entre las estrategias posibles se encuentran las de evitar los riesgos, mitigarlos, compartirlos, transferirlos, aceptarlos o aprovecharlos, según resulte procedente. ix. Registrar, medir y reportar los eventos de pérdidas por materialización de riesgos.
2. Hacer seguimiento a través de los órganos competentes, de acuerdo al campo de acción de cada uno de ellos, estableciendo los reportes o acciones de verificación que la administración de la entidad y los jefes de cada órgano social considere pertinentes. xi. Definir las acciones correctivas y preventivas derivadas del proceso de seguimiento y evaluación de los riesgos (planes de mejoramiento).

Sobre este tema, es recomendable que las entidades sometidas a control de esta superintendencia cuenten con una unidad responsable de la administración de riesgos (o si así se considera procedente con una unidad responsable para cada una de las principales clases de riesgos), que defina procedimientos, administre el registro de eventos, prepare informes periódicos, elabore manuales (con políticas para la administración del riesgo, estructura para su gestión, responsabilidades y procedimientos, entre otros), asesore a las demás dependencias de la organización y adelante la capacitación sobre el tema. Es importante reiterar que la administración de riesgos es uno de los elementos fundamentales del SCI para lograr la eficacia y eficiencia de las operaciones, la confiabilidad de los reportes financieros y el cumplimiento de leyes, normas y reglamentos. Los sistemas de control interno y de administración de riesgos son transversales en todas y cada una de las actividades, procesos y áreas de la entidad, por ello su importancia en el logro de los objetivos estratégicos y de calidad de la información que genera la organización. 7.5.3 Actividades de Control Las actividades de control son las políticas y los procedimientos que deben seguirse para lograr que las instrucciones de la administración con relación a sus riesgos y controles se cumplan. Las actividades de control se distribuyen a lo largo y a lo ancho de la organización, en todos los niveles y funciones. Lo anterior incluye entonces, el establecimiento de unas actividades obligatorias para todas las áreas, operaciones y procesos de la entidad, entre las cuales se encuentran, entre otras, las siguientes:

1. Revisiones de alto nivel, como son el análisis de informes y presentaciones que solicitan los miembros de junta directiva y otros altos directivos de la organización para efectos de

analizar y monitorear el progreso de la entidad hacia el logro de sus objetivos; detectar problemas, tales como deficiencias de control, errores en los informes financieros o actividades fraudulentas, y adoptar los correctivos necesarios. ii. Gestión directa de funciones o actividades. iii. Procesamiento de la información. Titulo I CAPITULO NOVENO Página 55 - 9 Obligaciones especiales de las entidades vigiladas Circular Externa 014 de 2009 Mayo 2009 SUPERINTENDENCIA FINANCIERA DE COLOMBIA iv. Controles de aplicación.

1. Limitaciones de acceso a las distintas áreas de la organización, de acuerdo con el nivel de riesgo asociado a cada una de ellas, teniendo en cuenta tanto la seguridad de los funcionarios de la entidad como de sus bienes, de los activos de terceros que administra y de su información. vi. Acompañamiento a los visitantes de la entidad para controlar que sólo ingresen a los sitios permitidos y que no realicen ningún acto que afecte la seguridad de los equipos o de la información que en ellos se procesa. vii. Controles físicos adicionales que resulten necesarios. viii. Indicadores de rendimiento. ix. Segregación de funciones.
2. Acuerdos de confidencialidad. xi. Procedimientos de control. xii. Difusión de las actividades de control.

Las actividades de control son seleccionadas y desarrolladas considerando la relación beneficio / costo y su potencial efectividad para mitigar los riesgos que afecten en forma material el logro de los objetivos de la organización. Dichas actividades implican una política que establece lo que debe hacerse y adicionalmente los procedimientos para llevarla a cabo. Todas estas actividades deben tener como principal objetivo la determinación y prevención de los riesgos (potenciales o reales), errores, fraudes u otras situaciones

que afecten o puedan llegar a afectar la estabilidad y/o el prestigio de la entidad. Adicionalmente deberán considerarse las actividades de control requeridas específicamente en el numeral 7.6 de este capítulo respecto a la gestión contable y tecnológica. 7.5.4 Información y Comunicación Teniendo en cuenta que la operación de una entidad depende en gran medida de sus sistemas de información, es necesario adoptar controles que garanticen la seguridad, calidad y cumplimiento de la información generada. Los sistemas de información y comunicación son la base para identificar, capturar e intercambiar información en una forma y período de tiempo que permita al personal cumplir con sus responsabilidades y a los usuarios externos contar oportunamente con elementos de juicio suficientes para la adopción de las decisiones que les corresponde en relación con la respectiva entidad. 7.5.4.1 Información Este sistema debe ser funcional para el suministro de información que permita dirigir y controlar el negocio en forma adecuada. Asimismo, deben permitir manejar tanto los datos internos como aquellos que se reciban del exterior. Las entidades supervisadas deben contar con sistemas que garanticen que la información cumpla con los criterios de seguridad (confidencialidad, , integridad y disponibilidad), calidad (efectividad, eficiencia, y confiabilidad) y cumplimiento, para lo cual deberán establecer controles generales y específicos para la entrada, el procesamiento y la salida de la información, atendiendo su importancia relativa y nivel de riesgo. Ello incluye, cuando menos, las siguientes actividades:

1. Identificar la información que se recibe y su fuente. ii. Asignar el responsable de cada información y las personas que pueden tener acceso a la misma.

1. Diseñar formularios y/o mecanismos que ayuden a minimizar errores u omisiones en la recopilación y procesamiento de la información, así como en la elaboración de informes. iv. Diseñar procedimientos para detectar, reportar y corregir los errores y las irregularidades que puedan presentarse.

Titulo I CAPITULO NOVENO Página 55 - 10 Obligaciones especiales de las entidades vigiladas Circular Externa 014 de 2009 Mayo 2009

SUPERINTENDENCIA FINANCIERA DE COLOMBIA

1. Establecer procedimientos que permitan a la entidad retener o reproducir los documentos fuente origínales, para facilitar la recuperación o reconstrucción de datos, así como para satisfacer requerimientos legales. vi. Definir controles para garantizar que los datos y documentos sean preparados por personal autorizado para hacerlo. vii. Implementar controles para proteger adecuadamente la información sensible contra acceso o modificación no autorizada. viii. Diseñar procedimientos para la administración del almacenamiento de información y sus copias de respaldo. ix. Establecer parámetros para la entrega de copias, a través de cualquier modalidad (papel, medio magnético, entre otros).
2. Clasificar la información (en pública, privada o confidencial, según corresponda). xi. Verificar la existencia o no de procedimientos de custodia de la información, cuando sea del caso, y de su eficacia. xii. Implementar mecanismos para evitar el uso de información privilegiada, en beneficio propio o de terceros. xiii. Detectar deficiencias y aplicar acciones de mejoramiento. xiv. Cumplir los requerimientos legales y reglamentarios.

La información que hace posible conducir y controlar la organización debe ser difundida de acuerdo con lo que los administradores de la entidad consideren pertinente, sin perjuicio de aquella que sea de carácter privilegiado, confidencial o reservado, respecto de la cual deberán adoptarse todas las medidas que resulten necesarias para su protección, incluyendo lo relacionado con su almacenamiento, acceso, conservación, custodia y divulgación. Se entiende por información sujeta a reserva o privilegiada aquella a la cual sólo tienen acceso directo ciertas personas (sujetos calificados), en razón de su profesión u oficio, la cual, por su carácter, es confidencial, ya que de conocerse podría ser utilizada con el fin de obtener provecho o beneficio para quien la suministra o para un tercero. Con tal propósito, los administradores de la entidad deben definir políticas de seguridad de la información, mediante la ejecución de un programa que comprenda, entre otros, el diseño, implantación, divulgación, educación y mantenimiento de las estrategias y mecanismos para administrar la seguridad de la información. La confidencialidad es uno de los elementos más importantes de la seguridad de la información y tiene como propósito garantizar que ella sólo pueda ser conocida, consultada y divulgada por personas autorizadas. Este elemento está directamente relacionado con el principio de “prudencia”, necesario para evitar la filtración, difusión inapropiada y tergiversación de la información. Lo anterior se entiende sin perjuicio de lo establecido en el Título I, Capítulo décimo segundo de la presente circular respecto a los requerimientos mínimos de seguridad y calidad en el manejo de información a través de medios y canales de distribución de productos y servicios. 7.5.4.2 Comunicación

La entidad debe mantener una comunicación eficaz, que fluya en todas las direcciones a través de todas las áreas de la organización (de arriba hacia abajo, a la inversa y transversalmente). Cada empleado debe conocer el papel que desempeña dentro de la organización y dentro del SCI y la forma en la cual las actividades a su cargo están relacionadas con el trabajo de los demás. Para el efecto, la entidad deberá disponer de medios para comunicar la información significativa, tanto al interior de la organización como hacia su exterior. Como parte de una adecuada administración de la comunicación, se deben identificar cuando menos los siguientes elementos:

1. Canales de comunicación ii. Responsables de su manejo iii. Requisitos de la información que se divulga iv. Frecuencia de la comunicación
2. Responsables vi. Destinatarios vii. Controles al proceso de comunicación

Titulo I CAPITULO NOVENO Página 55 - 11 Obligaciones especiales de las entidades vigiladas Circular Externa 014 de 2009 Mayo 2009 SUPERINTENDENCIA FINANCIERA DE COLOMBIA Adicionalmente los administradores de la entidad deben adoptar los procedimientos necesarios para garantizar la calidad, oportunidad, veracidad, suficiencia y en general el cumplimiento de todos los requisitos que incidan en la credibilidad y utilidad de la información que la respectiva organización revela al público. El principio de transparencia que rige el mercado de valores y el sistema financiero exige que se proporcione a los consumidores financieros y demás participantes del mercado, en igualdad de condiciones, información oportuna, suficiente y de calidad sobre los datos y hechos relevantes que permitan una adecuada formación de precios y la adopción de decisiones debidamente fundamentadas.

De esta manera se disminuye el riesgo de desigualdad de oportunidades para actuar en el mercado, derivado del manejo de información privilegiada. En tal sentido, los administradores de las entidades supervisadas deben adoptarse las medidas y los controles que resulten necesarios para evitar el suministro de información privilegiada a uno o más participantes del mercado. 7.5.5 Monitoreo Es el proceso que se lleva a cabo para verificar la calidad de desempeño del control interno a través del tiempo. Se realiza por medio de la supervisión continua que realizan los jefes o líderes de cada área o proceso como parte habitual de su responsabilidad frente al control interno (vicepresidentes, gerentes, directores, etc. dentro del ámbito de la competencia de cada uno de ellos), así como de las evaluaciones periódicas puntuales que realicen la auditoria interna u órgano equivalente, el presidente o máximo responsable de la organización y otras revisiones dirigidas. El SCI no puede ser estático, sino dinámico, ajustándose en forma permanente a las nuevas situaciones del entorno. Con tal fin, es importante que se establezcan controles automáticos o alarmas tanto en los sistemas automatizados como en los manuales, de manera que permanentemente se valore la calidad y el desempeño del sistema en el tiempo y se realicen las acciones de mejoramiento necesarias, pues ello equivale a una actividad de supervisión y administración. Para efectos de lo anterior, dicho monitoreo se debe realizar en todas las etapas de los procesos y en tiempo real en el curso de las operaciones. Las evaluaciones permanentes y separadas permiten a la alta dirección determinar si el control interno está presente y funciona en forma adecuada en el tiempo. Las deficiencias de control interno deben ser identificadas y comunicadas de manera oportuna a las

partes responsables de tomar acciones correctivas y, cuando resulten materiales, informarse también a la junta directiva u órgano equivalente. 7.5.6 Evaluaciones independientes Aunque los procedimientos de seguimiento permanente, así como la autoevaluación de cada área, proporcionan una retroalimentación importante, es necesario realizar adicionalmente evaluaciones que se centren directamente sobre la efectividad del SCI, las cuales deben ser realizadas por personas totalmente independientes del proceso, como requisito indispensable para garantizar su imparcialidad y objetividad. Se cumple con el requisito de estas evaluaciones independientes a través de los auditores internos y del revisor fiscal, en la medida en que el alcance de la evaluación hecha por éstos respecto al control interno de la respectiva entidad tenga el alcance y la cobertura requeridos en la presente circular. Lo anterior sin perjuicio de que la administración, si así lo considera conveniente, utilice como práctica de buen gobierno corporativo el trabajo de auditores externos para revisar la efectividad del control interno. Puede emplearse una combinación de varios esquemas, según lo que la administración considere necesario. Las debilidades resultado de esta evaluación y sus recomendaciones de mejoramiento, deben ser reportadas de manera ascendente, informando sobre asuntos representativos de manera inmediata al Comité de Auditoría, y haciéndoles seguimiento. Titulo I CAPITULO NOVENO Página 55 - 12 Obligaciones especiales de las entidades vigiladas Circular Externa 014 de 2009 Mayo 2009 SUPERINTENDENCIA FINANCIERA DE COLOMBIA 7.6 ÁREAS ESPECIALES DENTRO DEL SISTEMA DE CONTROL INTERNO El SCI debe abarcar todas las áreas de la organización, aplicando para cada una de ellas los objetivos,

principios, elementos y actividades de control, información, comunicación y otros fundamentos del sistema tratados en los numerales anteriores del presente capítulo. No obstante, por su particular importancia se considera pertinente entrar a analizar algunos aspectos del SCI relacionados con las áreas contable y tecnológica. 7.6.1. Control Interno en la gestión contable La información financiera y contable de una entidad, se constituye en una herramienta fundamental para que la administración pueda adoptar sus decisiones en forma oportuna y contando con suficientes elementos de juicio. Por ello, la organización debe asegurarse de que todos los estados financieros, informes de gestión y demás reportes que suministra sean confiables. El término confiable en este contexto se refiere a la preparación de estados financieros y otros informes que presenten en forma razonable la situación financiera y resultados de la entidad y que cumplan plenamente con las normas, principios y reglamentos que resulten aplicables. Bajo esta referencia resulta claro que un eficiente SCI contable es la base sobre la que se genera información financiera oportuna, razonable y veraz. El diseño e implementación de este sistema son responsabilidad de la administración, así como la correcta preparación y presentación de los estados financieros y sus correspondientes notas. Los representantes legales serán responsables del establecimiento y mantenimiento de adecuados sistemas de revelación y control de la información financiera, para lo cual deberán diseñar procedimientos de control sobre la calidad, suficiencia y oportunidad de la misma. Además, deberán verificar la operatividad de los controles establecidos al interior de la correspondiente entidad, e incluir en el informe de gestión que los administradores presenten a la asamblea general de accionistas u órgano equivalente la evaluación sobre el desempeño de los mencionados sistemas de rev