SFC - Anexo Circular Externa 14 de 2015 (3)

SUPERINTENDENCIA FINANCIERA DE COLOMBIA

PARTE I

INSTRUCCIONES GENERALES APLICABLES A LAS ENTIDADES VIGILADAS

TÍTULO IV DEBERES Y RESPONSABILIDADES CAPÍTULO IV: INSTRUCCIONES RELATIVAS A LA ADMINISTRACIÓN DEL RIESGO DE LAVADO DE ACTIVOS Y

FINANCIACIÓN DEL TERRORISMO CONSIDERACIONES GENERALES El lavado de activos y la financiación del terrorismo representan una gran amenaza para la estabilidad del sistema financiero y la integridad de los mercados por su carácter global y las redes utilizadas para el manejo de tales recursos. Tal circunstancia destaca la importancia y urgencia de combatirlos, resultando esencial el papel que para tal propósito deben desempeñar las entidades vigiladas por la SFC y el supervisor financiero. Partiendo de ello, esta Superintendencia requiere que las entidades vigiladas implementen un Sistema de Administración del Riesgo de Lavado de Activos y Financiación del Terrorismo –SARLAFTcon el fin de prevenir que sean utilizadas para dar apariencia de legalidad a activos provenientes de actividades delictivas o para la canalización de recursos hacia la realización de actividades terroristas. Así, en desarrollo de los arts. 102 y siguientes del EOSF, y en consonancia con el art. 22 de la Ley 964 de 2005, la SFC establece los criterios y parámetros mínimos que las entidades vigiladas deben atender en el diseño, implementación y funcionamiento del mencionado sistema. El SARLAFT se compone de dos fases, a saber: la primera, que corresponde a la prevención del riesgo y cuyo objetivo es prevenir que se introduzcan al sistema financiero recursos provenientes de actividades relacionadas con el lavado de

activos y/o de la financiación del terrorismo (en adelante LA/FT); y la segunda, que corresponde al control y cuyo propósito consiste en detectar y reportar las operaciones que se pretendan realizar o se hayan realizado, para intentar dar apariencia de legalidad a operaciones vinculadas al LA/FT. La administración del riesgo de LA/FT tiene una naturaleza diferente a la de los procesos de administración de los riesgos típicamente financieros (crédito, técnicos de seguros, mercado, liquidez, etc.), pues mientras que los mecanismos para la administración del primero se dirigen a prevenirlo, detectarlo y reportarlo -oportuna y eficazmente-, los mecanismos para la administración de los segundos se dirigen a asumirlos íntegra o parcialmente en función del perfil de riesgo de la entidad y la relación rentabilidad / riesgo.

1. DEFINICIONES Para efectos del presente Capítulo, los siguientes términos deben entenderse de acuerdo con las definiciones que a continuación se establecen: 1.1. Agentes económicos: Son todas las personas naturales o jurídicas que realizan operaciones económicas dentro de un sistema. 1.2. Beneficiario final: Es toda persona natural o jurídica que, sin tener la condición de cliente, es la propietaria o destinataria de los recursos o bienes objeto del contrato o se encuentra autorizada o facultada para disponer de los mismos. 1.3. Cliente: Es toda persona natural o jurídica con la cual la entidad establece y mantiene una relación contractual o legal para el suministro de cualquier producto propio de su actividad. 1.4. Factores de riesgo: Son los agentes generadores del riesgo de LA/FT. Para efectos del SARLAFT las entidades vigiladas deben tener en cuenta como mínimo los siguientes:

1.4.1. Clientes/usuarios, 1.4.2. Productos, 1.4.3. Canales de distribución y 1.4.4. Jurisdicciones. 1.5. Producto: Son las operaciones legalmente autorizadas que pueden adelantar las entidades vigiladas mediante la celebración de un contrato (vr.gr. cuenta corriente o de ahorros, seguros, inversiones, CDT, giros, emisión de deuda, compra venta de valores, etc.). 1.6. Riesgos asociados al LA/FT: Son los riesgos a través de los cuales se materializa el riesgo de LA/FT. Estos son: reputacional, legal, operativo y de contagio. 1.6.1. Riesgo reputacional: Es la posibilidad de pérdida en que incurre una entidad por desprestigio, mala imagen, publicidad negativa, cierta o no, respecto de la institución y sus prácticas de negocios, que cause pérdida de clientes, disminución de ingresos o procesos judiciales. 1.6.2. Riesgo legal: Es la posibilidad de pérdida en que incurre una entidad al ser sancionada u obligada a indemnizar daños como resultado del incumplimiento de normas o regulaciones y obligaciones contractuales. Surge también como consecuencia de fallas en los contratos y transacciones, derivadas de actuaciones malintencionadas, negligencia o actos involuntarios que afectan la formalización o ejecución de contratos o transacciones. 1.6.3. Riesgo operativo: Es la posibilidad de incurrir en pérdidas por deficiencias, fallas o inadecuaciones, en el recurso humano, los procesos, la tecnología, la infraestructura o por la ocurrencia de acontecimientos externos. Esta definición

incluye el riesgo legal y reputacional, asociados a tales factores.

PARTE I – TÍTULO IV – CAPÍTULO IV PÁGINA 1

Circular Externa 014 de 2015 Junio de 2015 SUPERINTENDENCIA FINANCIERA DE COLOMBIA 1.6.4. Riesgo de contagio: Es la posibilidad de pérdida que una entidad puede sufrir, directa o indirectamente, por una acción o experiencia de un vinculado. El vinculado es el relacionado o asociado e incluye personas naturales o jurídicas que tienen posibilidad de ejercer influencia sobre la entidad.

PARTE I – TÍTULO IV – CAPÍTULO IV PÁGINA 1

Circular Externa 014 de 2015 Junio de 2015 SUPERINTENDENCIA FINANCIERA DE COLOMBIA recibidas por concepto de seguros, respecto de cualquier asegurador, en los 2 últimos años; y iii) inventario general de los bienes objeto del seguro, salvo cuando se trate de pólizas flotantes o automáticas. En los contratos de seguros y capitalización, cuando el asegurado, afianzado y/o beneficiario sea una persona diferente al tomador o suscriptor, debe recaudarse la información al momento de la vinculación, salvo que el tomador o suscriptor señale claramente las razones que le impiden suministrar la información de aquellos y la entidad las encuentre justificadas, en cuyo caso tal información debe recaudarse al momento de la presentación de la reclamación, vencimiento y pago del título, rescisión del mismo, pago del sorteo o presentación de la solicitud de préstamo sobre el título. En los eventos en que

el asegurado, afianzado y/o beneficiario no suministren la información exigida en el presente instructivo, la operación debe calificarse como inusual. 4.2.2.2.1.4.2. En todo caso, cuando por virtud de la naturaleza o estructura de un contrato en el momento de la vinculación del cliente no sea posible conocer la identidad de otras personas que se vinculan como clientes, (p. ej. beneficiarios de contratos de seguro y fiducia, cuya identidad sólo se establece en el futuro) la información relativa a ellos debe obtenerse en el momento en que se individualicen. 4.2.2.2.1.4.3. En el evento en que la contratación de los productos ofrecidos por las entidades aseguradoras o de capitalización se lleve a cabo por parte de intermediarios de seguros o de capitalización, el proceso de conocimiento del cliente puede dejarse a cargo del intermediario, siempre que se haga bajo los parámetros, procedimientos y metodologías previamente establecidos por la entidad vigilada contratante y la responsabilidad sigue radicada en cabeza de ésta última. 4.2.2.2.1.4.4. Tratándose de clientes de los almacenes generales de depósito que depositen sus mercancías en los depósitos públicos habilitados de que trata el Decreto 2685 de 1999 -Estatuto Aduanero-, las entidades vigiladas deben procurar actuar con la mayor diligencia y hacer el mejor esfuerzo con la finalidad de obtener la información necesaria para conocer al cliente. En el evento que el cliente se rehúse a suministrar dicha información, la entidad debe evaluar las acciones que deba adelantar.

4.2.2.2.1.4.5. Tratándose de relaciones de corresponsalía trasnacional, las entidades vigiladas deben establecer mecanismos que les permitan: 4.2.2.2.1.4.5.1. Obtener la aprobación de los funcionarios de alto nivel jerárquico antes de establecer relaciones de corresponsalía trasnacional; 4.2.2.2.1.4.5.2. Reunir información suficiente sobre el establecimiento representado que les permita comprender cabalmente la naturaleza de sus negocios, incluyendo si ha sido objeto de sanción o intervención de la autoridad de control por lavado de activos o financiación del terrorismo, así como cualquier otra información que permita establecer una relación de corresponsalía trasnacional con transparencia para ambas partes. 4.2.2.2.1.4.5.3. Determinar que la entidad tenga controles para prevenir y controlar el lavado de activos y la financiación del terrorismo; 4.2.2.2.1.4.5.4. Documentar las respectivas responsabilidades de cada institución frente al LA/FT. 4.2.2.2.1.4.5.5. Aplicar procedimientos más estrictos para el seguimiento a tales relaciones. 4.2.2.2.1.4.5.6. Asegurarse de que el establecimiento representado cumpla con las medidas de conocimiento del cliente. 4.2.2.2.1.5. Conocimiento del cliente por parte de grupos Las entidades vigiladas que se encuentren en las situaciones previstas en los arts. 260 del C.Cio y el art. 28 de la Ley 222 de 1995 pueden llevar a cabo la vinculación de clientes a través de la entidad del grupo que establezca una relación

contractual y lo vincule por primera vez, siempre y cuando se dé cumplimiento a las reglas que se encuentran a continuación. En estos casos corresponde a la matriz del grupo siempre que se trate de una entidad vigilada o, en su defecto, a la que el grupo designe, realizar la consolidación y evaluación del perfil de riesgo residual de LA/FT del grupo. 4.2.2.2.1.5.1. La responsabilidad de adelantar todas las gestiones necesarias tendientes a confirmar y actualizar, como mínimo, en forma anual la información corresponde a la entidad vigilada que el grupo designe para el efecto o, en su defecto, a la matriz. 4.2.2.2.1.5.2. El grupo debe diseñar un formato único de vinculación de clientes que contenga, cuando menos, la totalidad de los requisitos de información exigidos en el presente Capítulo, así como la información requerida respecto de todos los productos que ofrezcan las entidades del grupo. Así mismo, el formato debe contener una estipulación en la que el cliente autorice de manera expresa e inequívoca su remisión a las demás entidades del mismo grupo a las que sucesivamente se vincule. En todo caso corresponde a la entidad con la cual se pretende vincular el potencial cliente determinar cuál información, además de la mínima exigida en el presente Capítulo, debe suministrarle para llevar a cabo su vinculación. 4.2.2.2.1.5.3. La responsabilidad de actualizar la información adicional a la mínima está en cabeza de cada una de las entidades con las cuales el cliente mantenga una relación contractual, sin perjuicio de dar cumplimiento a las demás normas del SARLAFT. 4.2.2.2.1.5.4. Es obligación permanente de cada una de las entidades vigiladas que conforman un grupo incluir las

modificaciones y solicitar la información adicional que como resultado de la evaluación y seguimiento de los factores de riesgo haya determinado cada una de ellas como relevante y necesaria para controlar el riesgo de LA/FT. 4.2.2.2.1.6. Excepciones a la obligación de diligenciar el formulario de solicitud de vinculación de clientes y de realizar entrevista.

PARTE I – TÍTULO IV – CAPÍTULO IV PÁGINA 7

Circular Externa 014 de 2015 Junio de 2015 SUPERINTENDENCIA FINANCIERA DE COLOMBIA 4.2.2.2.1.6.12. Cuentas de ahorro electrónicas de que trata el art. 2.25.1.1.1 del Decreto 2555 de 2010. 4.2.2.2.1.6.13. Los fondos de inversión colectiva en los que se inviertan los recursos recuperados que se restituyan a los afectados por los captadores o recaudadores no autorizados, a que se refiere el Decreto 4334 de 2008. Dicha excepción se aplica exclusivamente para la inversión de los citados recursos. 4.2.2.2.1.6.14. Las cuentas de ahorro con trámite simplificado para su apertura, a las que se refiere el numeral 5. del Capítulo III, Título I de la Parte II de esta Circular. 4.2.2.2.1.6.15. Los créditos educativos de que trata el art. 10.7.1.1.8. del Decreto 2555 de 2010, otorgados a personas naturales. Para que proceda esta excepción, el Instituto Colombiano de Crédito y Estudios Técnicos en el Exterior -ICETEXdebe contar con mecanismos alternativos que le permitan realizar un adecuado conocimiento de los destinatarios de tales créditos y que reconozcan la naturaleza de las operaciones que realiza. 4.2.2.2.1.6.16. Las transferencias de recursos de que trata el art. 1 del Decreto 4830 de 2010, realizadas por el Fondo Nacional de Calamidades a entidades públicas del orden nacional o territorial para ser administrados por éstas. Tratándose de los ordenadores del gasto y de las firmas autorizadas que puedan disponer de los recursos que el Fondo sitúe en los fondos de inversión colectiva de la Fiduciaria Previsora S.A. o de la entidad que para el efecto designe el Gobierno Nacional para la Administración del Fondo, cuentan con 20 días para obtener la información respectiva. 4.2.2.2.1.6.17. Los depósitos de dinero electrónico a los que se refiere el inciso primero del art. 2.1.15.1.2 del Decreto 2555 de 2010 que cumplan con las características previstas en los subnumerales 6.1 y 6.2 del Capítulo III, Título I de la Parte II de esta Circular y las cuentas de ahorro con trámite simplificado cuyos saldos máximos no excedan en ningún momento 3 SMMLV, de acuerdo con lo señalado por el subnumeral 5.4 del mencionado Capítulo. Tales depósitos y cuentas de ahorro están exceptuadas, además, de las obligaciones contenidas en las siguientes disposiciones del presente Capítulo: 4.2.2.2.1.6.17.1. Los subnumerales 4.2.2.2.1.1.2. y 4.2.2.2.1.1.3. del. “Conocimiento del cliente”.

4.2.2.2.1.6.17.2. El subnumeral 4.2.2.2.1.7. de las “Personas públicamente expuestas” 4.2.2.2.1.6.17.3. El subnumeral 4.2.2.2.2. del “Conocimiento del mercado”. Adicionalmente, para los mencionados depósitos y cuentas de ahorro, la segmentación de los factores de riesgo, a la que se refiere el subnumeral 4.2.2.3.2 del presente Capítulo, debe realizarse con la información que tengan disponible las entidades. 4.2.2.2.1.7. Personas públicamente expuestas El SARLAFT debe prever procedimientos más exigentes de vinculación de clientes y de monitoreo de operaciones de personas nacionales o extranjeras que por su perfil o por las funciones que desempeñan pueden exponer en mayor grado a la entidad al riesgo de LA/FT, tales como: personas que por razón de su cargo manejan recursos públicos, detentan algún grado de poder público o gozan de reconocimiento público. En tal sentido, el SARLAFT debe contener mecanismos efectivos, eficientes y oportunos que permitan identificar los casos de clientes que responden a tales perfiles, así como procedimientos de control y monitoreo más exigentes respecto de las operaciones que realizan. En todo caso, el estudio y aprobación de la vinculación de tales clientes debe llevarse a cabo por una instancia o empleado de jerarquía superior al que normalmente aprueba las vinculaciones en la entidad. El evento en que un cliente o beneficiario final pase a ser una persona públicamente expuesta en los términos señalados en el presente numeral, debe informarse a la instancia o empleado de jerarquía superior encargado de tales vinculaciones.

4.2.2.2.1.8. Parámetros de los procedimientos de conocimiento del cliente 4.2.2.2.1.8.1. Parámetros mínimos: 4.2.2.2.1.8.1.1. Permitir la realización de todas las diligencias necesarias para confirmar y actualizar, como mínimo anualmente, los datos suministrados en el formulario de solicitud de vinculación de clientes que por su naturaleza puedan variar (dirección, teléfono, actividad, origen de los recursos etc.). Para el caso de productos inactivos, la actualización se debe llevar a cabo cuando el producto deje de tener tal condición. En el evento en que cambie la participación de los accionistas o asociados, en los términos exigidos en el formulario de vinculación, corresponde a las entidades determinar una periodicidad menor para la actualización la información, atendiendo el nivel de riesgo de cada cliente. 4.2.2.2.1.8.1.2. Salvo lo dispuesto en el siguiente subnumeral de los “Procedimientos especiales para la realización de entrevistas”, contemplar la realización de una entrevista presencial al potencial cliente de la cual debe dejarse constancia documental, indicando el empleado de la entidad que la realizó, la fecha y hora en que se efectuó, así como los resultados de la misma. 4.2.2.2.1.8.1.3. El diligenciamiento del formulario, así como el recaudo de los documentos y la firma de los mismos, puede efectuarse de acuerdo con el procedimiento señalado en la Ley 527 de 1999. Sin embargo, el empleo de dichos procedimientos no sustituye la entrevista al potencial cliente. 4.2.2.2.1.8.2. Procedimientos especiales para la realización de entrevistas

Pueden emplearse metodologías y procedimientos de conocimiento del cliente que consideren la realización de entrevistas no presenciales o la realización de entrevistas por personal que no tenga la condición de empleado de la entidad, bajo las siguientes condiciones: 4.2.2.2.1.8.2.1. Señalar en el procedimiento, las razones objetivas por las cuales se considera necesaria su implementación, atendiendo los objetivos del SARLAFT. 4.2.2.2.1.8.2.2. Contemplar un seguimiento más estricto de los clientes vinculados bajo tales modalidades. En aquellos casos en que alguno de los factores de riesgo involucrados esté calificado por la entidad como de alto riesgo, con excepción de la jurisdicción, deben realizarse entrevistas presenciales y por personal que tenga la condición de empleado de la entidad.

PARTE I – TÍTULO IV – CAPÍTULO IV PÁGINA 9

Circular Externa 014 de 2015 Junio de 2015 SUPERINTENDENCIA FINANCIERA DE COLOMBIA 4.2.2.3.1. Señales de alerta o alertas tempranas 4.2.2.3.2. Segmentación de los factores de riesgo 4.2.2.3.3. Seguimiento de operaciones 4.2.2.3.4. Consolidación electrónica de operaciones 4.2.2.3.1. Señales de alerta o alertas tempranas Son los hechos, situaciones, eventos, cuantías, indicadores cuantitativos y cualitativos, razones financieras y demás información que la entidad determine como relevante, a partir de los cuales se puede inferir oportuna y/o prospectivamente la posible existencia de un hecho o situación que escapa a lo que la entidad, en el desarrollo del SARLAFT, ha determinado

como normal. Estas señales deben considerar cada uno de los factores de riesgo y las características de sus operaciones, así como cualquier otro criterio que a juicio de la entidad resulte adecuado. 4.2.2.3.2. Segmentación de los factores de riesgo Las entidades deben segmentar cada uno de los factores de riesgo de acuerdo con las características particulares de cada uno de ellos, garantizando homogeneidad al interior de los segmentos y heterogeneidad entre ellos, según la metodología que previamente haya establecido la entidad. A través de la segmentación las entidades deben determinar las características usuales de las transacciones que se desarrollan y compararlas con aquellas que realicen los clientes, a efectos de detectar las operaciones inusuales. Sin perjuicio de cualquier otro criterio que establezca la entidad, deben segmentar atendiendo como mínimo las siguientes variables en cada factor: 4.2.2.3.2.1. Clientes: actividad económica, volumen o frecuencia de sus transacciones y monto de ingresos, egresos y patrimonio. 4.2.2.3.2.2. Productos: naturaleza, características y nicho de mercado o destinatarios. 4.2.2.3.2.3. Canales de distribución: naturaleza y características. 4.2.2.3.2.4. Jurisdicciones: ubicación, características y naturaleza de las transacciones. 4.2.2.3.3. Seguimiento de operaciones Las entidades deben estar en capacidad de hacer seguimiento a las operaciones que realicen sus clientes y usuarios a través de los demás factores de riesgo. Para dar cumplimiento a lo anterior las entidades deben como mínimo: 4.2.2.3.3.1. Realizar seguimiento a las operaciones con una frecuencia acorde a la evaluación de riesgo de los factores de

riesgo involucrados en las operaciones. 4.2.2.3.3.2. Monitorear las operaciones realizadas en cada uno de los segmentos de los factores de riesgo. 4.2.2.3.3.3. En el caso del seguimiento de operaciones de usuarios, las entidades deben determinar cuáles de éstas resultan relevantes, teniendo en cuenta el riesgo al que exponen a la entidad y basados en los criterios previamente establecidos por las mismas. 4.2.2.3.3.4. Tratándose de las operaciones, productos o servicios que trata el subnumeral 4.2.2.2.1.6. de las “Excepciones a la obligación de diligenciar el formulario de solicitud de vinculación de clientes y de realizar entrevista” y especialmente en aquellos casos en los cuales la apertura de los productos se realice sin la presencia física del cliente, el seguimiento a las operaciones que realicen las entidades vigiladas les debe permitir administrar el riesgo de lavado de activos y de la financiación del terrorismo. 4.2.2.3.4. Consolidación electrónica de operaciones Las entidades deben estar en capacidad de consolidar electrónicamente las operaciones que realicen sus clientes y usuarios a través de los productos, canales de distribución y jurisdicciones, según sea el caso. Para dar cumplimiento a lo anterior las entidades deben como mínimo: 4.2.2.3.4.1. Consolidar electrónicamente por lo menos en forma mensual todas las operaciones, según su naturaleza, es decir activas, pasivas y neutras por cada uno de los clientes y usuarios. 4.2.2.3.4.2. Consolidar electrónicamente por lo menos en forma mensual todos los productos, canales de distribución y

jurisdicciones empleados por cada cliente y usuario. En el caso de consolidación electrónica de operaciones de usuarios, las entidades deben determinar cuáles de éstas resultan relevantes, teniendo en cuenta el riesgo al que exponen a la entidad y basados en los criterios previamente establecidos por las mismas. 4.2.3. Documentación Las etapas y los elementos del SARLAFT implementados por la entidad deben constar en documentos y registros, garantizando la integridad, oportunidad, confiabilidad y disponibilidad de la información allí contenida. 4.2.3.1. Requisitos: La documentación como mínimo debe contar con: 4.2.3.1.1. Respaldo físico. 4.2.3.1.2. Requisitos de seguridad de forma tal que se permita su consulta sólo por quienes estén autorizados.

PARTE I – TÍTULO IV – CAPÍTULO IV PÁGINA 11

Circular Externa 014 de 2015 Junio de 2015 SUPERINTENDENCIA FINANCIERA DE COLOMBIA Cuando se actúe a través de mandatario debe exigirse además el nombre/s y apellido/s y tipo y número de identificación. 5.2. Transferencias nacionales En el caso de transferencias nacionales, la siguiente es la información mínima del ordenante y beneficiario que debe permanecer con la transferencia o mensaje relacionado a través de la cadena de pago: 5.2.1. En el caso de personas naturales: nombre/s y apellido/s; tipo y número de identificación, domicilio, número telefónico y ciudad. 5.2.2. En el caso de personas jurídicas: Nombre o razón social, NIT, tipo y número de identificación de quien actúa como

representante legal, domicilio, número telefónico y ciudad. Cuando se actúe a través de mandatario debe exigirse además el nombre/s y apellido/s y tipo y número de identificación. Tratándose de las cuentas de ahorro electrónicas, cuentas de ahorro con trámite simplificado para su apertura y depósitos de dinero electrónico, la información mínima del ordenante que debe permanecer con la transferencia o mensaje relacionado a través de la cadena de pago, es el nombre/s y apellido/s; tipo y número de identificación y la fecha de expedición del respectivo documento de identidad.

6. PRÁCTICA INSEGURA La SFC califica como práctica insegura y no autorizada, conforme lo establecido en el literal a. del numeral 5 del art. 326

EOSF, la realización de operaciones sin el cumplimiento de las disposiciones contenidas en el presente Capítulo.

PARTE I – TÍTULO IV – CAPÍTULO IV PÁGINA 18

Circular Externa 014 de 2015 Junio de 2015