SFC - Anexo Circular Externa 27 de 2020 (4)

SUPERINTENDENCIA FINANCIERA DE COLOMBIA

PARTE I

INSTRUCCIONES GENERALES APLICABLES A LAS ENTIDADES VIGILADAS

T˝TULO IV DEBERES Y RESPONSABILIDADES CAP˝TULO IV: INSTRUCCIONES RELATIVAS A LA ADMINISTRACI(cid:211)N DEL RIESGO DE LAVADO DE ACTIVOS Y DE

LA FINANCIACI(cid:211)N DEL TERRORISMO.

CONTENIDO

CONSIDERACIONES GENERALES

1. DEFINICIONES 2. `MBITO DE APLICACI(cid:211)N 2.1. Funcionario responsable de las medidas de control del lavado de activos y financiaci(cid:243)n del terrorismo.

3. DEFINICI(cid:211)N DEL RIESGO DE LA/FT

4. ALCANCE DEL SISTEMA DE ADMINISTRACI(cid:211)N DEL RIESGO DE LAVADO DE ACTIVOS Y DE LA FINANCIACI(cid:211)N

DEL TERRORISMO 4.1. Etapas del SARLAFT 4.2. Elementos del SARLAFT

5. REGLAS ESPECIALES PARA TRANSFERENCIAS 5.1. Transferencias internacionales 5.2. Transferencias nacionales 5.3. Entidades vigiladas autorizadas para prestar servicios de transferencia de dinero 5.4. Documentaci(cid:243)n

6. SANCIONES FINANCIERAS DIRIGIDAS

7. PR`CTICA INSEGURA PARTE I – T˝TULO IV – CAP˝TULO IV Circular Externa 027 de 2020 Septiembre de 2020

SUPERINTENDENCIA FINANCIERA DE COLOMBIA

PARTE I

INSTRUCCIONES GENERALES APLICABLES A LAS ENTIDADES VIGILADAS

T˝TULO IV DEBERES Y RESPONSABILIDADES CAP˝TULO IV: INSTRUCCIONES RELATIVAS A LA ADMINISTRACI(cid:211)N DEL RIESGO DE LAVADO DE ACTIVOS Y DE

LA FINANCIACI(cid:211)N DEL TERRORISMO CONSIDERACIONES GENERALES El lavado de activos y la financiaci(cid:243)n del terrorismo representan una gran amenaza para la estabilidad del sistema financiero y la integridad de los mercados por su carÆcter global y las redes utilizadas para el manejo de tales recursos. Tal circunstancia destaca la importancia y urgencia de combatirlos, resultando esencial el papel que para tal prop(cid:243)sito deben desempeæar las entidades vigiladas por la SFC y el supervisor financiero. Partiendo de ello, esta Superintendencia requiere que las entidades vigiladas implementen un Sistema de Administraci(cid:243)n del Riesgo de Lavado de Activos y Financiaci(cid:243)n del Terrorismo –SARLAFTcon el fin de prevenir que sean utilizadas para: (i) dar apariencia de legalidad a activos provenientes de actividades delictivas y (ii) la canalizaci(cid:243)n de recursos hacia la realizaci(cid:243)n de actividades terroristas. As(cid:237), en desarrollo de los arts. 102 y siguientes del EOSF, y en consonancia con el art. 22 de la Ley 964 de 2005, la SFC establece los criterios y parÆmetros m(cid:237)nimos que las entidades vigiladas deben atender en el diseæo, implementaci(cid:243)n y

funcionamiento del mencionado sistema. El SARLAFT se compone de dos fases, a saber: la primera, que corresponde a la prevenci(cid:243)n del riesgo y cuyo objetivo es prevenir que se introduzcan al sistema financiero recursos provenientes de actividades relacionadas con el lavado de activos y/o de la financiaci(cid:243)n del terrorismo (en adelante, LA/FT); y la segunda, que corresponde al control y cuyo prop(cid:243)sito consiste en detectar y reportar las operaciones que se pretendan realizar o se hayan realizado, para intentar dar apariencia de legalidad a operaciones vinculadas al LA/FT. La administraci(cid:243)n del riesgo de LA/FT tiene una naturaleza diferente a la de los procesos de administraci(cid:243)n de los riesgos t(cid:237)picamente financieros (crØdito, tØcnicos de seguros, mercado, liquidez, etc.), pues mientras que los mecanismos para la administraci(cid:243)n del primero se dirigen a prevenirlo, detectarlo y reportarlo -oportuna y eficazmente-, los mecanismos para la administraci(cid:243)n de los segundos se dirigen a asumirlos (cid:237)ntegra o parcialmente en funci(cid:243)n del perfil de riesgo de la entidad y la relaci(cid:243)n rentabilidad / riesgo.

1. DEFINICIONES Para efectos del presente Cap(cid:237)tulo, los siguientes tØrminos deben entenderse de acuerdo con las definiciones que a continuaci(cid:243)n se establecen: 1.1. Agentes econ(cid:243)micos: Son todas las personas naturales o jur(cid:237)dicas que realizan operaciones econ(cid:243)micas dentro de un sistema.

1.2. Banco pantalla: Es una instituci(cid:243)n financiera que: (i) no tiene presencia f(cid:237)sica en el pa(cid:237)s en el que estÆ constituido y recibe licencia, (ii) no pertenece a un conglomerado financiero que estØ sujeto a una supervisi(cid:243)n comprensiva y consolidada por parte de esta Superintendencia, y (iii) no es objeto de inspecci(cid:243)n, vigilancia y/o control o un grado de supervisi(cid:243)n equivalente, por parte del supervisor de la jurisdicci(cid:243)n donde se encuentre domiciliado o constituido. 1.3. Beneficiario final: Es toda persona natural que, sin ser necesariamente Cliente, reœne cualquiera de las siguientes caracter(cid:237)sticas: 1.3.1. Es propietaria, individual o conjuntamente, directa o indirectamente de una participaci(cid:243)n superior al 5% del capital social, aporte o participaci(cid:243)n en la persona jur(cid:237)dica que actœa como cliente. 1.3.2. Es aquella persona que pese a no ser propietario de una participaci(cid:243)n mayoritaria del capital de la persona jur(cid:237)dica que actœa como cliente, ejerce el control de la persona jur(cid:237)dica en los tØrminos del art(cid:237)culo 261 del C(cid:243)digo de Comercio. 1.3.3. Es por cuenta de quien se lleva a cabo una transacci(cid:243)n. Se entiende que esta persona es aquella sobre quien recaen los efectos econ(cid:243)micos de dicha transacci(cid:243)n. Salvo disposici(cid:243)n en contrario, las entidades deben tener en cuenta las notas interpretativas de las recomendaciones

relacionadas con el beneficiario final emitidas por el Grupo de Acci(cid:243)n Financiera (GAFI) para efectos de determinar la calidad del beneficiario final. 1.4. Canales de distribuci(cid:243)n: Se entienden como tales los regulados en la Parte I, T(cid:237)tulo II, Cap(cid:237)tulo I de la CBJ. 1.5. Cliente: Es toda persona natural o jur(cid:237)dica, con la cual la entidad establece y mantiene una relaci(cid:243)n contractual o legal para el suministro de cualquier producto propio de su actividad. 1.6. Contexto externo: Es el ambiente externo en el cual la organizaci(cid:243)n busca alcanzar sus objetivos, que puede incluir: (i) el ambiente cultural, social, pol(cid:237)tico, legal, reglamentario, financiero, tecnol(cid:243)gico, econ(cid:243)mico, natural y competitivo, bien sea internacional, nacional, regional o local; (ii) impulsores clave y tendencias que tienen impacto en los objetivos de la organizaci(cid:243)n; y (iii) relaciones con personas y organizaciones que puede afectar, verse afectada, o percibirse as(cid:237) misma como afectada por una decisi(cid:243)n o una actividad, y sus percepciones y valores. 1.7. Contexto interno: Es el ambiente interno en el cual la organizaci(cid:243)n busca alcanzar sus objetivos, que puede incluir: (i) el gobierno, estructura organizacional, funciones y responsabilidades; (ii) pol(cid:237)ticas, objetivos y estrategias implementadas para lograrlos; (iii) las capacidades, entendidas en tØrminos de recursos y conocimiento (vr.gr. capital, tiempo, personas, procesos, sistemas y tecnolog(cid:237)as); (iv) sistemas de informaci(cid:243)n, flujos de informaci(cid:243)n y

PARTE I – T˝TULO IV – CAP˝TULO IV P`GINA 1

Circular Externa 027 de 2020 Septiembre de 2020 SUPERINTENDENCIA FINANCIERA DE COLOMBIA procesos para la toma de decisiones (tanto formales como informales); (v) la cultura de la organizaci(cid:243)n; (vi) normas, directrices y modelos adoptados por la organizaci(cid:243)n; y (vii) formas y extensi(cid:243)n de las relaciones contractuales. 1.8. Corresponsal(cid:237)a trasnacional: Es la relaci(cid:243)n contractual entre dos instituciones financieras, el primero denominado "establecimiento corresponsal" y el segundo “establecimiento representado". Las instituciones financieras deben encontrarse en jurisdicciones diferentes. Son "establecimientos corresponsales" las entidades que le ofrecen/prestan determinados servicios a otras instituciones financieras y "establecimiento representado" aquellos que utilizan/reciben los servicios contratados con el "establecimiento corresponsal". 1.9. Empleados: Son aquellas personas naturales que se obligan a prestar un servicio a otra persona, natural o jur(cid:237)dica, bajo la continuada dependencia o subordinaci(cid:243)n de la segunda y mediante remuneraci(cid:243)n. 1.10. Entidades beneficiarias: Son aquellas entidades que reciben una transferencia electr(cid:243)nica de una entidad que hace la orden, directamente o a travØs de una entidad intermediaria, y suministra los fondos al beneficiario. 1.11. Entidades intermediarias: Son aquellas entidades vigiladas en una cadena en serie o de pago de cobertura, que reciben y transmiten una transferencia electr(cid:243)nica en nombre de la entidad financiera que hace la orden y la entidad

beneficiaria u otra entidad intermediaria. 1.12. Entidades ordenantes: Son aquellas entidades vigiladas que inician la transferencia electr(cid:243)nica y transfieren los fondos al recibir la respectiva solicitud del ordenante. 1.13. Factores de riesgo: Son los agentes generadores del riesgo de LA/FT. Para efectos del SARLAFT las entidades vigiladas deben tener en cuenta como m(cid:237)nimo los siguientes: 1.13.1. Clientes y usuarios 1.13.2. Productos 1.13.3. Canales de distribuci(cid:243)n 1.13.4. Jurisdicciones 1.14. Financiaci(cid:243)n del terrorismo: Es el conjunto de actividades encaminadas a canalizar recursos l(cid:237)citos o il(cid:237)citos para promover, sufragar o patrocinar individuos, grupos o actividades terroristas. 1.15. Lavado de activos: Es el conjunto de actividades encaminadas a ocultar el origen il(cid:237)cito o a dar apariencia de legalidad a recursos obtenidos producto de la ejecuci(cid:243)n de actividades il(cid:237)citas. 1.16. Listas internacionales vinculantes para Colombia: Son aquellas listas de personas y entidades asociadas con organizaciones terroristas que son vinculantes para Colombia conforme al Derecho Internacional, incluyendo pero sin limitarse a las Resoluciones 1267 de 1999, 1988 de 2011, 1373 de 2001, 1718 y 1737 de 2006 y 2178 de 2014 del Consejo de Seguridad de las Naciones Unidas, a todas aquellas que le sucedan, relacionen y complementen, y cualquiera otra lista que se adopte en el pa(cid:237)s.

1.17. Mandatario: Es aquella persona que se obliga a celebrar o ejecutar uno o mÆs actos por cuenta de otra. 1.18. Matriz de riesgo: Es una herramienta que facilita una evaluaci(cid:243)n de riesgos hol(cid:237)stica, que debe cumplir con las disposiciones del subnumeral 4.2.2.3.5. del presente Cap(cid:237)tulo. 1.19. PEP de organizaciones internacionales. Son aquellas personas que ejercen funciones directivas en una organizaci(cid:243)n internacional. Se entienden por PEP de organizaciones internacionales directores, subdirectores, miembros de juntas directivas o cualquier persona que ejerza una funci(cid:243)n equivalente. En ningun caso, dichas categorias comprenden funcionarios de niveles intermedios o inferiores. Adicionalmente, se consideran PEP de organizaciones internacionales durante el periodo en que ocupen sus cargos y durante los dos (2) aæos siguientes a su dejaci(cid:243)n, renuncia, despido, o cualquier otra forma de desvinculaci(cid:243)n. 1.20. PEP extranjeros: Son aquellas personas que desempeæan funciones pœblicas destacadas en otro pa(cid:237)s. Se entienden por PEP extranjeros: (i) jefes de Estado, jefes de Gobierno, ministros, subsecretarios o secretarios de Estado; (ii) congresistas o parlamentarios; (iii) miembros de tribunales supremos, tribunales constitucionales u otras altas instancias judiciales cuyas decisiones no admitan normalmente recurso, salvo en circunstancias excepcionales; (iv) miembros de tribunales o de las juntas directivas de bancos centrales; (v) embajadores,

encargados de negocios y altos funcionarios de las fuerzas armadas, y (vi) miembros de los (cid:243)rganos administrativos, de gesti(cid:243)n o de supervisi(cid:243)n de empresas de propiedad estatal. En ningun caso, dichas categorias comprenden funcionarios de niveles intermedios o inferiores. Adicionalmente, se consideran PEP extranjeros durante el periodo en que ocupen sus cargos y durante los dos (2) aæos siguientes a su dejaci(cid:243)n, renuncia, despido, o cualquier otra forma de desvinculaci(cid:243)n. 1.21. Potencial cliente: Es la persona natural o jur(cid:237)dica que se encuentra en la fase previa de tratativas preliminares con la entidad vigilada respecto de los productos o servicios ofrecidos por esta. 1.22. Producto: Son las operaciones legalmente autorizadas que pueden adelantar las entidades vigiladas mediante la celebraci(cid:243)n de un contrato (vr.gr. cuenta corriente o de ahorros, seguros, inversiones, CDT, giros, emisi(cid:243)n de deuda, compra venta de valores, negocios fiduciarios, etc.). 1.23. Proveedores: Son aquellas personas naturales o jur(cid:237)dicas que proveen o abastecen de bienes o servicios necesarios a una entidad vigilada, para el desarrollo de su actividad y funcionamiento, a travØs de la celebraci(cid:243)n de un contrato. 1.24. Riesgos asociados al LA/FT: Son los riesgos a travØs de los cuales se materializa el riesgo de LA/FT. Estos son: reputacional, legal operativo y de contagio.

PARTE I – T˝TULO IV – CAP˝TULO IV P`GINA 2

Circular Externa 027 de 2020 Septiembre de 2020 SUPERINTENDENCIA FINANCIERA DE COLOMBIA 1.24.1. Riesgo reputacional: Es la posibilidad de pØrdida en que incurre una entidad por desprestigio, mala imagen, publicidad negativa, cierta o no, respecto de la instituci(cid:243)n y sus prÆcticas de negocios, que cause pØrdida de clientes, disminuci(cid:243)n de ingresos o procesos judiciales. 1.24.2. Riesgo legal: Es la posibilidad de pØrdida en que incurre una entidad al ser sancionada u obligada a indemnizar daæos como resultado del incumplimiento de normas o regulaciones y obligaciones contractuales. Surge tambiØn como consecuencia de fallas en los contratos y transacciones, derivadas de actuaciones malintencionadas, negligencia o actos involuntarios que afectan la formalizaci(cid:243)n o ejecuci(cid:243)n de contratos o transacciones. 1.24.3. Riesgo operativo: Es la posibilidad de incurrir en pØrdidas por deficiencias, fallas o inadecuaciones, en el recurso humano, los procesos, la tecnolog(cid:237)a, la infraestructura o por la ocurrencia de acontecimientos externos. Esta definici(cid:243)n incluye el riesgo legal y reputacional, asociados a tales factores. 1.24.4. Riesgo de contagio: Es la posibilidad de pØrdida que una entidad puede sufrir, directa o indirectamente, por una acci(cid:243)n o experiencia de un vinculado. El vinculado es el relacionado o asociado e incluye personas naturales o jur(cid:237)dicas que tienen

posibilidad de ejercer influencia sobre la entidad. 1.25. Riesgo inherente: Es el nivel de riesgo propio de la actividad, sin tener en cuenta el efecto de los controles. 1.26. Riesgo residual o neto: Es el nivel resultante del riesgo despuØs de aplicar los controles. 1.27. Segmentaci(cid:243)n: Es el proceso por medio del cual se lleva a cabo la separaci(cid:243)n de elementos en grupos homogØneos al interior de ellos y heterogØneos entre ellos. La separaci(cid:243)n se fundamenta en el reconocimiento de diferencias significativas en sus caracter(cid:237)sticas (variables de segmentaci(cid:243)n). 1.28. Servicios: Son todas aquellas interacciones de las entidades sometidas a inspecci(cid:243)n y vigilancia de la SFC con personas diferentes a sus clientes. 1.29. Transferencia: Es la transacci(cid:243)n efectuada por una persona natural o jur(cid:237)dica denominada “ordenante”, a travØs de una entidad autorizada en la respectiva jurisdicci(cid:243)n para realizar transferencias nacionales y/o internacionales, mediante movimientos electr(cid:243)nicos o contables, con el fin de que una suma de dinero se ponga a disposici(cid:243)n de una persona natural o jur(cid:237)dica denominada “beneficiaria”, en otra entidad autorizada para realizar este tipo de operaciones. El ordenante y el beneficiario pueden ser la misma persona. 1.30. Usuarios: Son aquellas personas naturales o jur(cid:237)dicas a las que, sin ser clientes, la entidad les presta un servicio. 1.31. Vinculados: Son aquellos que cumplen alguno de los criterios previstos en el art(cid:237)culo 2.39.3.1.2 del Decreto

2555 de 2010 en los tØrminos establecidos en dicho art(cid:237)culo. 2. `MBITO DE APLICACI(cid:211)N Corresponde a las entidades vigiladas diseæar e implementar un SARLAFT efectivo de acuerdo con los criterios y parÆmetros m(cid:237)nimos exigidos en este Cap(cid:237)tulo, sin perjuicio de advertir que de acuerdo con el literal e. del numeral 2 del art. 102 del EOSF debe estar en consonancia con los estÆndares internacionales sobre la materia, especialmente los proferidos por el

GAFI - GAFILAT.

Salvo en lo dispuesto en el numeral 2.1 de este Cap(cid:237)tulo, las siguientes entidades se encuentran exceptuadas de la aplicaci(cid:243)n de las instrucciones contenidas en el presente Capítulo: el Fondo de Garantías de Instituciones Financieras “Fogafin”, el Fondo de Garantías de Entidades Cooperativas “Fogacoop”, el Fondo Nacional de Garantías S.A. “F.N.G.”, los fondos mutuos de inversi(cid:243)n sometidos a vigilancia permanente de la SFC, las sociedades calificadoras de valores y/o riesgo, las oficinas de representaci(cid:243)n de instituciones financieras y de reaseguros del exterior, los intermediarios de reaseguros, las oficinas de representaci(cid:243)n de instituciones del mercado de valores del exterior, los organismos de autorregulaci(cid:243)n, los INFIS y los proveedores de infraestructura de conformidad con la definici(cid:243)n del art. 11.2.1.6.4 del Decreto 2555 de 2010, con excepci(cid:243)n de los almacenes generales de dep(cid:243)sito y los administradores de sistemas de pago de bajo valor. Estas excepciones no

afectan el deber legal de dichas entidades de cumplir lo establecido en los arts. 102 a 107 del EOSF, en lo que les resulte pertinente de acuerdo con su actividad, especialmente respecto al env(cid:237)o de los reportes de transacciones en efectivo, clientes exonerados y ROS a la UIAF para lo cual deben emplear los documentos tØcnicos e instructivos correspondientes, anexos al presente cap(cid:237)tulo Igualmente, se encuentran exceptuadas de las presentes instrucciones las entidades administradoras del rØgimen de prima media con prestaci(cid:243)n definida, excepto aquellas que se encuentran autorizadas por la ley para recibir nuevos afiliados. Las entidades sometidas a la inspecci(cid:243)n y vigilancia de la SFC que deban implementar el SARLAFT, y que en el desarrollo de su actividad pretendan vincular como clientes a entidades vigiladas por esta Superintendencia, se encuentran facultadas para exceptuar del cumplimiento de las instrucciones relativas al conocimiento del cliente a tales clientes. El SARLAFT que implementen las entidades vigiladas en desarrollo de lo dispuesto en las presentes instrucciones debe atender a la naturaleza, objeto social y demÆs caracter(cid:237)sticas particulares de cada una de ellas 2.1. Funcionario responsable de las medidas de control del lavado de activos y financiaci(cid:243)n del terrorismo De acuerdo con el numeral 3 del art. 102 del EOSF, las entidades vigiladas deben diseæar y poner en prÆctica procedimientos espec(cid:237)ficos para el control del riesgo de LA/FT y designar funcionarios responsables de verificar el adecuado cumplimiento de dichos procedimientos. Para tal efecto, las entidades vigiladas exceptuadas de la aplicaci(cid:243)n de las demÆs instrucciones establecidas en este Cap(cid:237)tulo,

de acuerdo con lo establecido en el numeral 2 (en adelante entidades vigiladas exceptuadas), deben atender las siguientes instrucciones: 2.1.1. Funciones

PARTE I – T˝TULO IV – CAP˝TULO IV P`GINA 3

Circular Externa 027 de 2020 Septiembre de 2020 SUPERINTENDENCIA FINANCIERA DE COLOMBIA Las entidades vigiladas exceptuadas deben designar un funcionario, con su respectivo suplente, responsable de la administraci(cid:243)n de las medidas de control diseæadas para prevenir que en la realizaci(cid:243)n de sus operaciones puedan ser utilizadas como instrumento para el ocultamiento, manejo, inversi(cid:243)n o aprovechamiento en cualquier forma de dinero u otros bienes provenientes de actividades delictivas o destinados a su financiaci(cid:243)n, o para dar apariencia de legalidad a las actividades delictivas o a las transacciones y fondos vinculados con las mismas, el cual debe: 2.1.1.1. Participar en el diseæo de los procedimientos contra el LA/FT. 2.1.1.2. Velar por el cumplimiento de dichos procedimientos y por la implementaci(cid:243)n de los correctivos establecidos para superar las deficiencias identificadas. 2.1.1.3. Presentar informes de gesti(cid:243)n a la junta directiva u (cid:243)rgano que haga sus veces con una periodicidad m(cid:237)nima semestral. En caso de que por su naturaleza jur(cid:237)dica no exista dicho (cid:243)rgano, estas funciones corresponderÆn al representante legal. 2.1.1.4. Proponer a la administraci(cid:243)n la creaci(cid:243)n y actualizaci(cid:243)n de manuales de procedimientos y velar por su divulgaci(cid:243)n a

los funcionarios de la respectiva entidad. 2.1.1.5. Evaluar los informes de auditor(cid:237)a interna y externa de la entidad y diseæar las medidas para afrontar las deficiencias identificadas en los mismos, respecto a las medidas de control de los riesgos de LA/FT. 2.1.1.6. Atender y coordinar cualquier requerimiento, solicitud, o diligencia de autoridad competente judicial o administrativa en esta materia. 2.1.1.7. Velar por el cumplimiento de lo establecido en el numeral 2 del art. 102 del EOSF. 2.1.1.8. Cumplir las obligaciones relacionadas con sanciones financieras dirigidas, establecidas en este Cap(cid:237)tulo. 2.1.1.9. Cumplir las obligaciones relacionadas con la consulta de sus clientes en listas vinculantes para Colombia de conformidad con el subnumeral 4.2.2.1.4. del presente Cap(cid:237)tulo. Las entidades vigiladas exceptuadas no deben contar con un oficial de cumplimiento de acuerdo con las disposiciones contenidas en el subnumeral 4.2.4.3 del presente Cap(cid:237)tulo. 2.1.2. Deberes respecto del funcionario responsable Las entidades vigiladas exceptuadas deben: 2.1.2.1. Designar al funcionario responsable mediante la junta directiva o el (cid:243)rgano que haga sus veces. En caso de que por su naturaleza jur(cid:237)dica no exista dicho (cid:243)rgano, el representante legal deberÆ designarlo. 2.1.2.2. Garantizar que las labores adicionales que se asignen al funcionario responsable no generen conflictos de interØs con las funciones listadas en el subnumeral 2.1.1 de este Cap(cid:237)tulo.

2.1.2.3. Verificar que el funcionario responsable cuente con conocimientos suficientes del rØgimen legal y los estÆndares internacionales en materia de LA/FT. 2.1.2.4. Verificar que el funcionario responsable no se encuentre en una lista internacional vinculante para Colombia. 2.1.2.5. Enviar dentro de los 15 d(cid:237)as calendario, siguientes al nombramiento a la SFC la informaci(cid:243)n relativa al nombre, nœmero de identificaci(cid:243)n, telØfono y correo electr(cid:243)nico del Funcionario Responsable a travØs de los canales dispuestos para tal efecto. SerÆ responsabilidad del representante legal de la entidad el diligenciamiento y la verificaci(cid:243)n de los datos descritos en este numeral.

3. DEFINICI(cid:211)N DEL RIESGO DE LA/FT Para los efectos del presente Cap(cid:237)tulo, se entiende por riesgo de LA/FT la posibilidad de pØrdida o daæo que puede sufrir una entidad vigilada por su propensi(cid:243)n a ser utilizada directamente o a travØs de sus operaciones como instrumento para el lavado de activos, canalizaci(cid:243)n de recursos hacia la realizaci(cid:243)n de actividades terroristas y/o financiaci(cid:243)n de armas de destrucci(cid:243)n masiva, o cuando se pretenda el ocultamiento de activos provenientes de dichas actividades. El riesgo de LA/FT se materializa a travØs de los riesgos asociados, estos son: el legal, reputacional, operativo y de contagio, a los que se expone

la entidad, con el consecuente efecto econ(cid:243)mico negativo que ello puede representar para su estabilidad financiera cuando es utilizada para tales actividades.

4. ALCANCE DEL SISTEMA DE ADMINISTRACI(cid:211)N DEL RIESGO DE LAVADO DE ACTIVOS Y DE LA FINANCIACI(cid:211)N DEL TERRORISMO El SARLAFT, como sistema de administraci(cid:243)n que deben implementar las entidades vigiladas para gestionar el riesgo de LA/FT, se instrumenta a travØs de las etapas y elementos que mÆs adelante se describen, correspondiendo las primeras a las fases o pasos sistemÆticos e interrelacionados mediante los cuales las entidades administran el riesgo de LA/FT, y los segundos al conjunto de componentes a travØs de los cuales se instrumenta de forma organizada y met(cid:243)dica la administraci(cid:243)n del riesgo de LA/FT en las entidades.

El SARLAFT debe abarcar todas las actividades que realizan las entidades vigiladas en desarrollo de su objeto social principal y prever, ademÆs, procedimientos y metodolog(cid:237)as efectivas para que las entidades se protejan de ser utilizadas en forma directa, es decir, a travØs de sus accionistas, beneficiarios finales, administradores en los tØrminos del art. 22 de la ley 222 de 1995, empleados, proveedores y vinculados, como instrumento para el lavado de activos, canalizaci(cid:243)n de recursos hacia la realizaci(cid:243)n de actividades terroristas, o cuando se pretenda el ocultamiento de activos provenientes de dichas actividades. Es deber de las entidades vigiladas revisar peri(cid:243)dicamente las etapas y elementos del SARLAFT a fin de realizar los ajustes

que consideren necesarios para su efectivo, eficiente y oportuno funcionamiento. Esta revisi(cid:243)n se debe llevar a cabo, como m(cid:237)nimo, semestralmente, sin perjuicio de que se pueda hacer en un periodo inferior por decisi(cid:243)n de la junta directiva de la entidad vigilada conforme a su anÆlisis de riesgo de LA/FT o de esta Superintendencia en desarrollo de sus actividades de supervisi(cid:243)n. En todo caso, las entidades vigiladas deberÆn realizar esta revisi(cid:243)n siempre que se presenten situaciones que requieran la adopci(cid:243)n de medidas efectivas para fortalecer el SARLAFT. Las entidades vigiladas deben tener a disposici(cid:243)n de esta Superintendencia los medios verificables a travØs de los cuales se demuestre la realizaci(cid:243)n de dicha revisi(cid:243)n. El SARLAFT que implementen y desarrollen las entidades vigiladas que se encuentren en las situaciones previstas en los arts. 260 y 261 del C.Cio. y el art. 28 de la Ley 222 de 1995 debe tener caracter(cid:237)sticas similares con el fin de eliminar posibles arbitrajes entre ellas.

PARTE I – T˝TULO IV – CAP˝TULO IV P`GINA 4

Circular Externa 027 de 2020 Septiembre de 2020 SUPERINTENDENCIA FINANCIERA DE COLOMBIA 4.1. Etapas del SARLAFT El SARLAFT que implementen las entidades vigiladas debe comprender como m(cid:237)nimo las siguientes etapas: 4.1.1. Identificaci(cid:243)n, 4.1.2. Medici(cid:243)n o evaluaci(cid:243)n,

4.1.3. Control, y 4.1.4. Monitoreo 4.1.1. Identificaci(cid:243)n El SARLAFT debe permitir a las entidades vigiladas identificar los riesgos de LA/FT inherentes al desarrollo de su actividad, teniendo en cuenta los factores de riesgo definidos en el presente Cap(cid:237)tulo. Esta etapa debe realizarse previamente (i) al lanzamiento o uso de cualquier producto, al uso de nuevas prÆcticas comerciales, incluyendo nuevos canales de prestaci(cid:243)n de servicios, y el uso de nuevas tecnolog(cid:237)as o tecnolog(cid:237)as en desarrollo para productos nuevos o existentes; (ii) la modificaci(cid:243)n de las caracter(cid:237)sticas del producto; (iii) la incursi(cid:243)n en un nuevo mercado; (iv) la apertura de operaciones en nuevas jurisdicciones, y (v) al lanzamiento o modificaci(cid:243)n de los canales de distribuci(cid:243)n. Como resultado de esta etapa las entidades vigiladas deben estar en capacidad de identificar los factores de riesgo y los riesgos asociados a los cuales se ven expuestas en relaci(cid:243)n al riesgo de LA/FT. Para identificar el riesgo de LA/FT, las entidades vigiladas deben como m(cid:237)nimo: 4.1.1.1. Establecer metodolog(cid:237)as para la segmentaci(cid:243)n de los factores de riesgo y segmentar los factores de riesgo conforme a dichas metodolog(cid:237)as. 4.1.1.2. Establecer metodolog(cid:237)as para la identificaci(cid:243)n del riesgo de LA/FT y sus riesgos asociados respecto de cada uno de

los factores de riesgo segmentados, teniendo en cuenta el contexto interno y externo de la entidad vigilada. 4.1.1.3. Con base en las metodolog(cid:237)as establecidas en desarrollo del numeral anterior, identificar las formas a travØs de las cuales se puede presentar el riesgo de LA/FT, atendiendo las variables consideradas para cada uno de los factores de riesgo. 4.1.2. Medici(cid:243)n o Evaluaci(cid:243)n Concluida la etapa de identificaci(cid:243)n, el SARLAFT debe permitirle a las entidades vigiladas medir la probabilidad de ocurrencia del riesgo inherente de LA/FT frente a cada uno de los factores de riesgo, as(cid:237) como el impacto en caso de materializarse mediante los riesgos asociados. Estas mediciones podrÆn ser de carÆcter cualitativo o cuantitativo. Como resultado de esta etapa las entidades deben estar en capacidad de establecer el perfil de riesgo inherente de LA/FT de la entidad y las mediciones agregadas en cada factor de riesgo y en sus riesgos asociados. Para medir el riesgo de LA/FT las entidades deben como m(cid:237)nimo: 4.1.2.1. Establecer las metodolog(cid:237)as de medici(cid:243)n o evaluaci(cid:243)n con el fin de determinar la probabilidad de ocurrencia del riesgo de LA/FT y su impacto en caso de materializarse frente