SFC - Anexo Circular Externa 17 de 2021 (2)

SUPERINTENDENCIA FINANCIERA DE COLOMBIA procesos para la toma de decisiones (tanto formales como informales); (v) la cultura de la organización; (vi) normas, directrices y modelos adoptados por la organización; y (vii) formas y extensión de las relaciones contractuales. 1.8. Corresponsalía trasnacional: Es la relación contractual entre dos instituciones financieras, el primero denominado "establecimiento corresponsal" y el segundo “establecimiento representado". Las instituciones financieras deben encontrarse en jurisdicciones diferentes. Son "establecimientos corresponsales" las entidades que le ofrecen/prestan determinados servicios a otras instituciones financieras y "establecimiento representado" aquellos que utilizan/reciben los servicios contratados con el "establecimiento corresponsal". 1.9. Empleados: Son aquellas personas naturales que se obligan a prestar un servicio a otra persona, natural o jurídica, bajo la continuada dependencia o subordinación de la segunda y mediante remuneración. 1.10. Entidades beneficiarias: Son aquellas entidades que reciben una transferencia electrónica de una entidad que hace la orden, directamente o a través de una entidad intermediaria, y suministra los fondos al beneficiario. 1.11. Entidades intermediarias: Son aquellas entidades vigiladas en una cadena en serie o de pago de cobertura, que reciben y transmiten una transferencia electrónica en nombre de la entidad financiera que hace la orden y la entidad beneficiaria u otra entidad intermediaria. 1.12. Entidades ordenantes: Son aquellas entidades vigiladas que inician la transferencia electrónica y transfieren los fondos al recibir la respectiva solicitud del ordenante. 1.13. Factores de riesgo: Son los agentes generadores del riesgo de LA/FT. Para efectos del SARLAFT las entidades

vigiladas deben tener en cuenta como mínimo los siguientes: 1.13.1. Clientes y usuarios 1.13.2. Productos 1.13.3. Canales de distribución 1.13.4. Jurisdicciones 1.14. Financiación del terrorismo: Es el conjunto de actividades encaminadas a canalizar recursos lícitos o ilícitos para promover, sufragar o patrocinar individuos, grupos o actividades terroristas. 1.15. Lavado de activos: Es el conjunto de actividades encaminadas a ocultar el origen ilícito o a dar apariencia de legalidad a recursos obtenidos producto de la ejecución de actividades ilícitas. 1.16. Listas internacionales vinculantes para Colombia: Son aquellas listas de personas y entidades asociadas con organizaciones terroristas que son vinculantes para Colombia conforme al Derecho Internacional, incluyendo pero sin limitarse a las Resoluciones 1267 de 1999, 1988 de 2011, 1373 de 2001, 1718 y 1737 de 2006 y 2178 de 2014 del Consejo de Seguridad de las Naciones Unidas, a todas aquellas que le sucedan, relacionen y complementen, y cualquiera otra lista que se adopte en el país. 1.17. Mandatario: Es aquella persona que se obliga a celebrar o ejecutar uno o más actos por cuenta de otra. 1.18. Matriz de riesgo: Es una herramienta que facilita una evaluación de riesgos holística, que debe cumplir con las disposiciones del subnumeral 4.2.2.3.5. del presente Capítulo. 1.19. Personas expuestas políticamente: Corresponde a las personas definidas en el art. 2.1.4.2.3. del Decreto 1081

de 2015, y demás normas que lo modifiquen, complementen, sustituyan o adicionen. 1.20. Personas expuestas políticamente extranjeras: Corresponde a las personas definidas en el art. 2.1.4.2.9. del Decreto 1081 de 2015, y demás normas que lo modifiquen, complementen, sustituyan o adicionen. 1.21. Potencial cliente: Es la persona natural o jurídica que se encuentra en la fase previa de tratativas preliminares con la entidad vigilada respecto de los productos o servicios ofrecidos por esta. 1.22. Producto: Son las operaciones legalmente autorizadas que pueden adelantar las entidades vigiladas mediante la celebración de un contrato (vr.gr. cuenta corriente o de ahorros, seguros, inversiones, CDT, giros, emisión de deuda, compra venta de valores, negocios fiduciarios, etc.). 1.23. Proveedores: Son aquellas personas naturales o jurídicas que proveen o abastecen de bienes o servicios necesarios a una entidad vigilada, para el desarrollo de su actividad y funcionamiento, a través de la celebración de un contrato. 1.24. Riesgos asociados al LA/FT: Son los riesgos a través de los cuales se materializa el riesgo de LA/FT. Estos son: reputacional, legal operativo y de contagio.

PARTE I – TÍTULO IV – CAPÍTULO IV PÁGINA 2

Circular Externa 017 de 2021 Septiembre de 2021 SUPERINTENDENCIA FINANCIERA DE COLOMBIA de la misma en la gestión del riesgo de LA/FT. Las entidades vigiladas deben tener a disposición de esta Superintendencia los medios verificables a través de los cuales se demuestre la realización de dicho análisis de riesgo. Por último, las

entidades vigiladas deben realizar una revisión semestral de dicho análisis de riesgo, el cual también debe estar a disposición de esta Superintendencia en los términos anteriormente mencionados. Las entidades vigiladas pueden aplicar los procedimientos de conocimiento de cliente de manera proporcional en atención a su análisis del riesgo LA/FT, siempre en cumplimiento de lo dispuesto en el subnumeral 4.2.2.2.1.1. del presente Capítulo. No obstante, en aquellos eventos en que hayan identificado que el perfil de riesgo de un potencial cliente esté calificado como de alto riesgo, las entidades vigiladas deben aplicar medidas intensificadas en los procedimientos de conocimiento de cliente. Dicha calificación debe tener en cuenta la valoración integral de los factores de riesgo. Las entidades vigiladas deben tener a disposición de esta Superintendencia los medios verificables a través de los cuales se demuestre la realización del análisis del riesgo de LA/FT, y que la metodología mediante la cual se realizó dicho análisis fue aprobado por la junta directiva o el órgano que haga sus veces. En el caso de las sociedades fiduciarias y en desarrollo de la línea de negocio de fiducia inmobiliaria, el conocimiento del cliente se debe adelantar a más tardar, al tercer día hábil siguiente a la recepción de los recursos siempre y cuando éstos sean destinados a negociar unidades inmobiliarias y no superen los 3 SMMLV. En el evento en que el potencial cliente se retracte y/o desista de continuar con los procedimientos de conocimiento al cliente, la entidad vigilada debe reportar tal circunstancia como una tentativa de vinculación comercial a la UIAF en los

términos del subumeral 4.2.7.2.1. del presente Capítulo. Las instrucciones contenidas en el presente subnumeral deben aplicarse igualmente respecto de las personas naturales o jurídicas que pretendan adquirir activos fijos de una entidad vigilada y a los empleados, proveedores y administradores (en los términos del artículo 22 de la Ley 222 de 1995) de la entidad vigilada. En todo caso, el alcance de los procedimientos de conocimiento de cliente aplicables a los empleados, proveedores y administradores (en los términos del artículo 22 de la Ley 222 de 1995) de la entidad vigilada, debe comprender, como mínimo, el cumplimiento del subnumeral 4.2.2.1.4 del presente Capítulo, siempre que aquella medida le permita a la entidad vigilada adelantar una adecuada y efectiva gestión del riesgo LA/FT conforme a su análisis de riesgo LA/FT. En el caso en que la entidad determine que aquellos suponen un mayor riesgo de la LA/FT, la entidad vigilada debe aplicar los procedimientos de conocimiento de cliente previstas en el subnumeral 4.2.2.2.1.1. del presente Capítulo. 4.2.2.2.1.1. Procedimientos ordinarios de conocimiento al cliente: 4.2.2.2.1.1.1. Identificación. 4.2.2.2.1.1.1.1. Identificación del cliente. Las entidades vigiladas deben contar con políticas y procedimientos que les permitan identificar y verificar la identidad del potencial cliente, sea persona natural o persona jurídica, al momento de su vinculación en ambientes presenciales y no presenciales. Para el caso de personas naturales, dichas políticas y procedimientos deben consistir en verificar el documento de identidad expedido por la autoridad competente, y para el caso

de las personas jurídicas, el documento actualizado que certifique la existencia y representación de la misma expedido por la autoridad competente. Adicionalmente, dichas políticas y procedimientos deben prever la verificación efectiva de la identidad de los potenciales clientes al momento de su vinculación utilizando datos e información de fuentes confiables e independientes. Para el efecto, las entidades vigiladas pueden utilizar: (i) certificados de firma digital, de acuerdo a lo establecido en la Ley 527 de 1999 y sus decretos reglamentarios, o las normas que la modifiquen, deroguen o subroguen; (ii) biometría, conforme a las instrucciones impartidas por esta Superintendencia en el Capítulo I del Título II de la Parte I de esta CBJ; (iii) mecanismos fuertes de autenticación, conforme a las instrucciones impartidas por esta Superintendencia en el Capítulo I del Título II de la Parte I de esta CBJ; (iv) la información disponible en los bancos de datos administrados por operadores de información (vr.gr. centrales de riesgo) en los términos previstos en la Ley 1266 de 2008 y sus decretos reglamentarios, o las normas que la modifiquen, deroguen o subroguen; y/o (v) cualquier otro mecanismo tecnológico que garantice la realización de una verificación efectiva de la identidad del potencial cliente conforme a lo establecido en el Capítulo I del Título II de la Parte I de esta CBJ. Las entidades vigiladas que celebren negocios fiduciarios deben identificar todos los sujetos relacionados con el negocio fiduciario, es decir, identificar a los fideicomitentes y a quien ejerza el control del fideicomitente, de acuerdo con lo

establecido en los arts. 26 y 27 de la Ley 222 de 1995 y, además a los adherentes y a los beneficiarios (que para los efectos del presente Capítulo tienen la calidad de clientes o potenciales clientes, según sea aplicable), incluyendo los beneficiarios finales de los recursos objeto de dichos negocios fiduciarios. Cuando por virtud de la naturaleza o estructura de un contrato, en el momento de la vinculación del cliente no sea posible conocer la identidad de otras personas que se vinculan como clientes, (vr.gr. beneficiarios y beneficiarios finales de los recursos objeto del negocio fiduciario en caso de que su identidad sólo se pueda establecer en el futuro) la información encaminada a identificarlos debe obtenerse en el momento en el que se individualicen, debiendo, en todo caso, realizar esta verificación al momento del pago. En el evento, en que un mandatario actúe en nombre del potencial cliente, para efectos de adelantar los procedimientos de conocimiento del cliente, las entidades deben: (i) verificar el documento que acredita dicha facultad o autorización e (ii) identificar y verificar la identidad del mandatario. 4.2.2.2.1.1.1.2. Identificación del beneficiario final y/o accionistas y/o asociados. El procedimiento de conocimiento del cliente supone identificar y tomar medidas razonables para verificar la identidad de(l) (los) beneficiario(s) final(es), accionistas y/o asociados que tengan directamente más del 5% del capital social, aporte o participación del potencial cliente. Cuando el potencial cliente: (i) esté inscrito en el Registro Nacional de Valores y Emisores (RNVE) y esté sujeto a requisitos de revelación de información en el mercado de valores, o (ii) esté listado en una bolsa de valores

internacional que exija requisitos de revelación de información equivalentes a los inscritos en el RNVE, no será necesario verificar la identidad de los beneficiarios finales y/o accionistas y/o asociados. En la medida en que exista una duda acerca de si las personas que tengan directa o indirectamente más del 5% del capital social, aporte o participación en la entidad son beneficiarios finales, o cuando ninguna persona natural ejerza

PARTE I – TÍTULO IV – CAPÍTULO IV PÁGINA 8

Circular Externa 017 de 2021 Septiembre de 2021 SUPERINTENDENCIA FINANCIERA DE COLOMBIA autoridad bancaria o de valores, y que el país de origen es miembro del GAFI o pertenece a un miembro asociado del GAFI (FATF associate members). 4.2.2.2.1.2.4.3. Confirmar que la entidad tenga controles para prevenir y controlar el LA/FT; 4.2.2.2.1.2.4.4. Documentar las respectivas responsabilidades de cada institución frente al LA/FT. 4.2.2.2.1.2.4.5. Aplicar procedimientos más estrictos para el seguimiento a tales relaciones. 4.2.2.2.1.2.4.6. Prohibir iniciar o continuar una relación de corresponsalía trasnacional con bancos pantalla. Adicionalmente, las entidades deben implementar medidas para impedir que sus cuentas sean utilizadas por bancos pantalla. 4.2.2.2.1.2.4.7. Suministrar información relacionada con el conocimiento del cliente al establecimiento corresponsal, asegurando el cumplimiento de las normas vigentes relacionadas con la circulación de datos personales.

4.2.2.2.1.2.4.8. Implementar medidas respecto a las “cuentas de transferencias de pagos en otras plazas”, según la definición de GAFI, que estén encaminadas a garantizar que el banco representado ha llevado a cabo un adecuado conocimiento de los clientes que tienen acceso directo a las cuentas del banco corresponsal, y que es capaz de suministrar la información relevante en materia de conocimiento del cliente, cuando el banco corresponsal lo solicite. 4.2.2.2.1.3. Conocimiento del cliente en conglomerados financieros Las entidades vigiladas que conforman un conglomerado financiero en los términos de la Ley 1870 de 2017 pueden compartir la información de sus clientes obtenida durante su procedimiento de conocimiento de cliente con otras entidades vigiladas receptoras, siempre y cuando se dé cumplimiento a las reglas que se encuentran a continuación. 4.2.2.2.1.3.1 Las entidades vigiladas emisores y receptores pertenezcan a un mismo conglomerado financiero. 4.2.2.2.1.3.2. La respectiva holding financiera imparta las directrices para el intercambio de la información entre las entidades vigiladas que integran el conglomerado financiero. Dichas directrices deben incluir políticas que propendan por la integridad, suficiencia y veracidad de la información que se obtenga en los procedimientos de conocimiento de cliente que sean objeto a los procesos de intercambio de información entre las entidades; así como, el pleno cumplimiento de las normas relacionadas con protección de datos y habeas data. 4.2.2.2.1.3.3. Le corresponde a la respectiva entidad financiera receptora (i) evaluar la suficiencia y pertinencia de la

información recibida según su modelo de negocios, perfil de cliente y perfil de riesgo de LA/FT; y (ii) solicitar la información adicional que considere relevante y necesaria para adelantar una adecuada y efectiva gestión del riesgo LA/FT. 4.2.2.2.1.3.4. La responsabilidad de actualizar la información está en cabeza de cada una de las entidades con las cuales el cliente mantenga una relación contractual, sin perjuicio de dar cumplimiento a las demás normas del SARLAFT. 4.2.2.2.1.3.5. Es obligación permanente de cada una de las entidades vigiladas que conforman un conglomerado financiero incluir las modificaciones y solicitar la información adicional que como resultado de la evaluación y seguimiento de los factores de riesgo haya determinado cada una de ellas como relevante y necesaria para controlar el riesgo de LA/FT. En todo caso, las entidades vigiladas son responsables por la efectiva implementación de su SARLAFT. 4.2.2.2.1.4. Procedimientos simplificados de conocimiento del cliente En el desarrollo de los procedimientos de conocimiento del cliente, las entidades vigiladas pueden implementar procedimientos simplificados de conocimiento del cliente para las operaciones, productos o servicios que se encuentran listados en este subnumeral. Los procedimientos simplificados de conocimiento del cliente para personas naturales deben comprender, como mínimo, la individualización de los potenciales clientes a través de la verificación de su identidad al momento de su vinculación con la siguiente información: el tipo de documento de identificación, el nombre, el número y la fecha de expedición del documento de identificación, así como el cumplimiento de lo establecido en el subnumeral 4.2.2.1.4 del

presente Capítulo. Las entidades deben dar cumplimiento a lo dispuesto en los subnumerales 4.2.2.2.1.1.2.1. y 4.2.2.2.1.5. del presente Capítulo, y solicitar cualquier otra información que estimen pertinente para dar aplicación a los procedimientos del SARLAFT, dentro de los 3 días hábiles siguientes a la fecha de vinculación. Los procedimientos simplificados de conocimiento del cliente para personas jurídicas aplican únicamente para entidades de naturaleza privada y deben comprender, como mínimo, la verificación, al momento de su vinculación, del documento que certifique la existencia y representación legal de la persona jurídica expedido por la autoridad competente. Dicho documento no podrá tener una vigencia superior a 30 días calendario. Las entidades deben dar cumplimiento a lo dispuesto en los subnumerales 4.2.2.1.4, 4.2.2.2.1.1.1.2, 4.2.2.2.1.1.2.1 y 4.2.2.2.1.5 del presente Capítulo, y solicitar cualquier otra información que estimen pertinente para dar aplicación a los procedimientos del SARLAFT, a más tardar al momento del pago o desembolso de los recursos. Los procedimientos simplificados de conocimiento del cliente implican un tratamiento diferencial de las entidades vigiladas en las gestiones de conocimiento de sus clientes, poblamiento de la base de datos y el respectivo monitoreo de los factores de riesgo, pero en ningún caso las exime de cumplir con las demás disposiciones aplicables, incluyendo las del subnumeral 4.2.2.2.1.1.2.2. del presente Capítulo. Para los mencionados tipos de clientes, productos, operaciones, servicios, la segmentación de los factores de riesgo

referido en el numeral 4.2.2.3.2. del presente Capítulo, debe realizarse con la información que tengan disponible las entidades. En todo caso, las entidades vigiladas, a medida que cuenten con información adicional, deben dar cumplimiento a las instrucciones del presente Capítulo. Las instrucciones especiales del procedimiento simplificado de conocimiento del cliente aplican únicamente para los siguientes trámites y productos. Por lo tanto, en el evento en que un cliente que cuente con alguno de estos productos decida adquirir un producto o servicio diferente, las entidades vigiladas deben obtener de manera completa la información de conocimiento del cliente requerida de acuerdo con lo previsto en el subnumeral 4.2.2.2.1.1.3. del presente Capítulo, de manera previa a la realización de cualquier operación.

PARTE I – TÍTULO IV – CAPÍTULO IV PÁGINA 11

Circular Externa 017 de 2021 Septiembre de 2021 SUPERINTENDENCIA FINANCIERA DE COLOMBIA 4.2.2.2.1.4.1. Operaciones realizadas con organismos multilaterales. 4.2.2.2.1.4.2. La constitución de fiducias de administración para el pago de obligaciones pensionales. 4.2.2.2.1.4.3. En los títulos de capitalización colocados mediante mercadeo masivo o contratos de red, siempre que el pago de las cuotas se haga mediante descuento directo de cuenta de ahorros, cuenta corriente o tarjeta de crédito, y que el cliente haya autorizado expresamente el traslado. 4.2.2.2.1.4.4. En los siguientes seguros: 4.2.2.2.1.4.4.1. Los tomados por entidades financieras, aseguradoras o sociedades administradoras de fondos de

pensiones por cuenta de sus clientes. 4.2.2.2.1.4.4.2. Los relativos a la seguridad social. 4.2.2.2.1.4.4.3. Aquellos en que el tomador, asegurado, afianzado o beneficiario sea una persona jurídica bajo el régimen de derecho público, salvo los tomados por empresas industriales y comerciales del Estado y/o sociedades de economía mixta que no estén sometidas a inspección y vigilancia de la SFC. 4.2.2.2.1.4.4.4. Los contratos de reaseguro. 4.2.2.2.1.4.4.5. Los tomados mediante mercadeo masivo, bancaseguros, corresponsales y uso de red siempre que el pago de las primas se haga mediante descuento directo de cuenta de ahorros, cuenta corriente, tarjeta de crédito o cualquier forma de crédito otorgado por un establecimiento de crédito, y que el cliente haya autorizado expresamente el traslado. 4.2.2.2.1.4.4.6. Aquellos tomados por personas naturales o jurídicas por cuenta y a favor de sus empleados, cuyo origen sea un contrato de trabajo o relación laboral, respecto de la información del asegurado y el beneficiario. En lo que hace al tomador, la información debe solicitarse en su totalidad. 4.2.2.2.1.4.4.7. Aquellos que las entidades aseguradoras están obligadas a expedir por disposición legal. Para este tipo de seguros, la individualización de los potenciales clientes personas naturales se realiza con la verificación de los siguientes datos del documento de identificación: nombre, tipo y número. En todo caso, las entidades

aseguradoras deben consultar al cliente en listas internacionales vinculantes para Colombia dentro de los 3 días hábiles siguientes a la vinculación de éste. 4.2.2.2.1.4.4.8. Aquellos otorgados mediante procesos de licitación pública. 4.2.2.2.1.4.4.9. De cumplimiento cuando se celebren para garantizar el cumplimiento de contratos con entidades de carácter público. 4.2.2.2.1.4.4.10. De accidentes personales en vuelo. 4.2.2.2.1.4.4.11. Los contratos de coaseguro para las compañías distintas a la líder. 4.2.2.2.1.4.4.12. Pólizas judiciales. 4.2.2.2.1.4.4.13. De salud. 4.2.2.2.1.4.4.14. Exequiales. 4.2.2.2.1.4.4.15. Los seguros tomados que cumplan con los siguientes requisitos de forma simultánea: (i) que el valor asegurado sea igual o inferior a 135 SMMLV y (ii) que el máximo pago anual de la prima sea igual o inferior a 6 SMMLV. 4.2.2.2.1.4.5. Cuentas de ahorro abiertas exclusivamente para el manejo y pago de pasivos pensionales. 4.2.2.2.1.4.6. En los créditos que se instrumentan a través de libranza siempre que estas no excedan de 6 SMMLV y sean otorgadas a empleados de empresas que se encuentren previamente vinculadas en calidad de cliente con la entidad vigilada otorgante del crédito.

4.2.2.2.1.4.7. Ahorro pensional correspondiente al recaudo de aportes obligatorios de los regímenes pensionales a los que se refiere la Ley 100 de 1993. 4.2.2.2.1.4.8. Cuentas del auxilio de cesantías al que se refieren los art. 98 y siguientes de la Ley 50 de 1990. Para estos productos, la verificación de la identidad del potencial cliente en los términos descritos en el subnumeral 4.2.2.2.1.4. del presente Capítulo se podrá realizar al momento del retiro de los recursos. 4.2.2.2.1.4.9. Los productos o servicios financieros abiertos a nombre de los beneficiarios del programa “Familias en Acción” y “Familias Guardabosques” que hacen parte del programa “Contra Cultivos Ilícitos” administrados por la Departamento Administrativo para la Prosperidad Social siempre que estén destinadas exclusivamente al manejo de los recursos provenientes de dichos programas. 4.2.2.2.1.4.10. Aquellas operaciones, productos o servicios financieros en los cuales la información del potencial cliente se suministre directamente por una caja de compensación legalmente constituida y contenga cuando menos, la información de que trata el subnumeral 4.2.2.2.1. del “Conocimiento del cliente”. 4.2.2.2.1.4.11. Cuentas de ahorro abiertas exclusivamente para el pago de nómina. Cuando se manejen otros recursos en tales cuentas, no se aplica dicha excepción. 4.2.2.2.1.4.12. Los fondos de inversión colectiva en los que se inviertan los recursos recuperados que se restituyan a los

afectados por los captadores o recaudadores no autorizados, a que se refiere el Decreto 4334 de 2008. Dicha excepción se aplica exclusivamente para la inversión de los citados recursos. 4.2.2.2.1.4.13. Los créditos educativos de que trata el art. 10.7.1.1.8. del Decreto 2555 de 2010, otorgados a personas naturales. Para que proceda esta excepción, el Instituto Colombiano de Crédito y Estudios Técnicos en el Exterior -ICETEXPARTE I – TÍTULO IV – CAPÍTULO IV PÁGINA 12 Circular Externa 017 de 2021 Septiembre de 2021 SUPERINTENDENCIA FINANCIERA DE COLOMBIA debe contar con mecanismos alternativos que le permitan realizar un adecuado conocimiento de los destinatarios de tales créditos y que reconozcan la naturaleza de las operaciones que realiza. 4.2.2.2.1.4.14. Las transferencias de recursos de que trata el art. 1 del Decreto 4830 de 2010, realizadas por el Fondo Nacional de Calamidades a entidades públicas del orden nacional o territorial para ser administrados por éstas. Tratándose de los ordenadores del gasto y de las firmas autorizadas que puedan disponer de los recursos que el Fondo sitúe en los fondos de inversión colectiva de la Fiduciaria Previsora S.A. o de la entidad que para el efecto designe el Gobierno Nacional para la Administración del Fondo, cuentan con 20 días para obtener la información respectiva.

PARTE I – TÍTULO IV – CAPÍTULO IV PÁGINA 121

Circular Externa 017 de 2021 Septiembre de 2021 SUPERINTENDENCIA FINANCIERA DE COLOMBIA 4.2.2.2.1.5.1. El concepto de Personas Expuestas Políticamente (PEP) comprende a las personas expuestas políticamente y a las personas expuestas políticamente extranjeras definidas en el Decreto 1081 de 2015, y demás normas que lo modifiquen, complementen, sustituyan o adicionen. 4.2.2.2.1.5.2. El SARLAFT debe contener mecanismos efectivos, eficientes y oportunos que permitan identificar que un cliente y/o potencial cliente: (i) detenta la calidad de PEP; (ii) tiene una sociedad conyugal, de hecho o de derecho con un PEP; (iii) sea familiar hasta el segundo grado de consanguinidad, segundo de afinidad y primero civil de un PEP; y (iv) tenga la calidad de asociado cercano, en los términos del art. 2.1.4.2.10 del Decreto 1081 de 2015, y demás normas que lo modifiquen, complementen, sustituyan o adicionen. Adicionalmente, dichos mecanismos deben permitir identificar al beneficiario final de un cliente y/o potencial cliente que detente la calidad de PEP. Para efectos de identificar a dicho beneficiario final, las entidades pueden emplear los procedimientos establecidos en el numeral 4.2.2.2.1.1.1.2. del presente Capítulo. 4.2.2.2.1.5.3. Con respecto a los clientes y/o potenciales cliente que detentan la calidad de PEP, las entidades vigiladas, además de aplicar las medidas normales de procedimiento de conocimiento del cliente, deben: (i) obtener la aprobación de

la instancia o empleado de jerarquía superior para la vinculación del cliente o para continuar con la relación comercial; (ii) adoptar medidas para establecer el origen de los recursos; (iii) prever procedimientos más exigentes de vinculación; y (iv) realizar un monitoreo continúo e intensificado de la relación comercial. 4.2.2.2.1.5.4. Con respecto a las demás personas identificadas en el subnumeral 4.2.2.2.1.5.2. del presente Capítulo (con excepción de quien detenta la calidad de PEP), las entidades vigiladas deben establecer su perfil de riesgo. En aquellos casos en que el perfil de riesgo de la respectiva persona esté calificado por las entidades como de alto riesgo, las entidades vigiladas deben aplicar las medidas intensificadas de conocimiento del cliente contempladas en el subnumeral 4.2.2.2.1.5.3 del presente Capítulo. 4.2.2.2.1.6. Actualización de la información del cliente Las entidades vigiladas deben contar con políticas y procedimientos para actualizar los datos de sus clientes conforme a las siguientes reglas: 4.2.2.2.1.6.1. Permitir la realización de todas las diligencias necesarias para verificar y actualizar los datos recolectados de los clientes que por su naturaleza puedan variar (dirección, teléfono, actividad económica, origen de los recursos, composición accionaria etc.). En este sentido, a partir del perfil del riesgo de LA/FT que se haya estimado para cada cliente como resultado de la aplicación de los procedimientos del SARLAFT, las entidades vigiladas pueden definir la periodicidad con la cual se debe realizar la actualización de estos datos que, en todo caso, no puede ser superior a tres años. No obstante, para aquellos clientes que se determine que pueden exponer a la entidad en un mayor grado al riesgo de LA/FT,

la actualización de estos datos debe realizarse, como mínimo, anualmente. En el evento en que un cliente pase a ser catalogado de alto riesgo por la entidad y no se haya actualizado sus datos en más de un año, las entidades deben realizar todas las diligencias necesarias para actualizar los datos del mismo dentro del mes siguiente al cambio de categorización. 4.2.2.2.1.6.2. Las entidades vigiladas deben realizar la actualización de estos datos, siempre que se presenten situaciones que requieran recaudar información adicional para permitirle a la entidad comparar las caracteristicas de las transacciones del cliente con su actividad económica y/o caracteristicas del monto de sus ingresos o egresos. Para lo anterior, las entidades deben realizar todas las diligencias necesarias para actualizar los datos dentro del mes siguiente a la fecha del conocimiento de dicha situación. 4.2.2.2.1.6.3. En el evento en que cambie la participación de los accionistas o asociados que tengan directa o indirectamente más del 5% de su capital social, aporte o participación en el cliente o algún beneficiario final, corresponde a las entidades realizar todas las diligencias necesarias para obtener la información sobre la actualización de los datos de los mismos. A partir del perfil del riesgo de LA/FT que haya determinado la entidad como resultado de la aplicación de los procedimientos del SARLAFT, las juntas directivas de las entidades vigiladas pueden definir la periodicidad con la cual se debe realizar la actualización de estos datos que, en todo caso, no puede ser superior a tres años. No obstante, en aquellos casos que se determine que pueden exponer a la entidad en mayor grado al riesgo de LA/FT, las entidades deben realizar toda