SFC - Anexo Circular Externa 38 de 2009 (2)

SUPERINTENDENCIA FINANCIERA DE COLOMBIA

7. SISTEMA DE CONTROL INTERNO 7.1 CONSIDERACIONES GENERALES Corresponde a los administradores de las entidades vigiladas o sometidas al control exclusivo de esta Superintendencia, realizar su gestión con la diligencia propia de un buen hombre de negocios. Por ello, compete a las juntas o consejos directivos o al órgano que haga sus veces, en calidad de administradores, definir las políticas y diseñar los procedimientos de control interno que deban implementarse, así como ordenar y vigilar que los mismos se ajusten a las necesidades de la entidad, permitiéndole desarrollar adecuadamente su objeto social y alcanzar sus objetivos, en condiciones de seguridad, transparencia y eficiencia. 7.2. ÁMBITO DE APLICACIÓN Todas las entidades sometidas a inspección y vigilancia de la Superintendencia Financiera de Colombia, ya sean matrices o subordinadas, deberán implementar o ajustar su SCI a los requisitos mínimos establecidos en el presente capítulo, en forma tal que el mismo resulte acorde con el tamaño de su organización (en términos de número de empleados, valor de los activos e ingresos, recursos captados del público, número de sucursales o agencias, entre otros.) y la naturaleza de las actividades propias de su objeto social, así como de las desarrolladas por cuenta de terceros, teniendo en cuenta la relación beneficio/costo.

Las entidades sometidas a inspección y vigilancia que tengan la calidad de matrices deberán procurar que sus subordinadas (sean filiales o subsidiarias) tengan un adecuado SCI, para lo cual deberán emitir los lineamientos generales mínimos que en su concepto deben aplicar, atendiendo la naturaleza, magnitud y

demás características de las mismas. Las entidades sometidas a control concurrente, deberán atender en materia de control interno las normas y las disposiciones que sobre el particular haya emitido o llegue a emitir el Gobierno Nacional y las demás entidades competentes Las entidades sometidas a control exclusivo, deberán atender en materia de control interno lo dispuesto en el numeral 7.9. del presente capítulo. Es de advertir que las instrucciones impartidas en este numeral van dirigidas a la adecuada integración de los diversos componentes del SCI. En tal sentido, este instructivo no suspende ni reemplaza el cumplimiento de obligaciones y deberes establecidos en disposiciones vigentes. 7.3 DEFINICIÓN Y OBJETIVO DEL SISTEMA DE CONTROL INTERNO Se entiende por SCI el conjunto de políticas, principios, normas, procedimientos y mecanismos de verificación y evaluación establecidos por la junta directiva u órgano equivalente, la alta dirección y demás funcionarios de una organización para proporcionar un grado de seguridad razonable en cuanto a la consecución de los siguientes objetivos:

1. Mejorar la eficiencia y eficacia en las operaciones de las entidades sometidas a inspección y vigilancia. Para el efecto, se entiende por eficacia la capacidad de alcanzar las metas y/o resultados propuestos; y por eficiencia la capacidad de producir el máximo de resultados con el mínimo de recursos, energía y tiempo. ii. Prevenir y mitigar la ocurrencia de fraudes, originados tanto al interior como al exterior de las organizaciones. iii. Realizar una gestión adecuada de los riesgos. iv. Aumentar la confiabilidad y oportunidad en la Información generada por la organización.
2. Dar un adecuado cumplimiento de la normatividad y regulaciones aplicables a la organización.

En la medida en que se logren los objetivos antes mencionados, el SCI brindará mayor seguridad a los diferentes grupos de interés que interactúan con la entidad. 7.4 PRINCIPIOS DEL SISTEMA DE CONTROL INTERNO Los principios del SCI constituyen los fundamentos y condiciones imprescindibles y básicas que garantizan su efectividad de acuerdo con la naturaleza de las operaciones autorizadas, funciones y características propias, y se aplican para cada uno de los aspectos que se tratan en el presente capítulo. En consecuencia, las entidades, en el diseño e implementación o revisión o ajustes del SCI deben incluir estos principios, documentarlos con los soportes pertinentes y tenerlos a disposición de la SFC. 7.4.1 Autocontrol Es la capacidad de todos y cada uno de los funcionarios de la organización, independientemente de su nivel jerárquico para evaluar y controlar su trabajo, detectar desviaciones y efectuar correctivos en el ejercicio y cumplimiento de sus funciones, así como para mejorar sus tareas y responsabilidades. Título I CAPITULO NOVENO Página 55 - 6 Obligaciones especiales de las entidades vigiladas Circular Externa 038 de 2009 Septiembre de 2009 SUPERINTENDENCIA FINANCIERA DE COLOMBIA En consecuencia, sin perjuicio de la responsabilidad atribuible a los administradores en la definición de políticas y en la ordenación del diseño de la estructura del SCI, es pertinente resaltar el deber que les corresponde a todos y cada uno de los funcionarios dentro de la organización, quienes en desarrollo de sus funciones y con la aplicación de procesos operativos apropiados deberán procurar el cumplimiento de los objetivos trazados por la dirección, siempre sujetos a los límites por ella establecidos.

7.4.2 Autorregulación Se refiere a la capacidad de la organización para desarrollar en su interior y aplicar métodos, normas y procedimientos que permitan el desarrollo, implementación y mejoramiento del SCI, dentro del marco de las disposiciones aplicables. 7.4.3 Autogestión Apunta a la capacidad de la organización para interpretar, coordinar, ejecutar y evaluar de manera efectiva, eficiente y eficaz su funcionamiento. Basado en los principios mencionados, el SCI establece las acciones, las políticas, los métodos, procedimientos y mecanismos de prevención, control, evaluación y de mejoramiento continuo de la entidad que le permitan tener una seguridad razonable acerca de la consecución de sus objetivos, cumpliendo las normas que la regulan. 7.5. ELEMENTOS DEL SISTEMA DE CONTROL INTERNO Para el cumplimiento de los principios y objetivos indicados con anterioridad, las entidades supervisadas deberán consolidar una estructura de control interno que considere por lo menos los elementos que se señalan a continuación: 7.5.1 Ambiente de Control El ambiente de control está dado por los elementos de la cultura organizacional que fomentan en todos los integrantes de la entidad principios, valores y conductas orientadas hacia el control. Es el fundamento de todos los demás elementos del SCI, dado que la eficacia del mismo depende de que las entidades cuenten con personal competente e inculquen en toda la organización un sentido de integridad y concientización sobre el control. Los elementos mínimos para crear un adecuado ambiente de control son:

1. Determinación formal por parte de la alta dirección de los principios básicos que rigen la entidad, los cuales deben constar en documentos que se divulguen a toda la organización y a grupos de interés.

1. Expedición de un código de conducta que incluya:  Valores y pautas explícitas de comportamiento.  Parámetros concretos determinados para el manejo de conflictos de interés, incluyendo expresamente, entre otros, los que regulen las operaciones con vinculados económicos, en adición a los que apliquen por disposición legal.  Mecanismos para evitar el uso de información privilegiada o reservada.  Órganos o instancias competentes para hacer seguimiento al cumplimiento del código.  Consecuencias de su inobservancia, teniendo en cuenta factores tales como reincidencias, pérdidas para los clientes o a la entidad, violaciones a límites, entre otros.

En caso que algunos de los temas antes citados no se incluyan en el código de conducta deberán incluirse en el código de gobierno corporativo de la entidad o en un documento independiente, si así se considera pertinente dada su importancia para la organización. El código de conducta debe orientar la actuación de todos los funcionarios, quienes deben comprometerse explícitamente con su cumplimiento. iii. Adopción de procedimientos que propicien que los empleados en todos los niveles de la organización cuenten con los conocimientos, habilidades y conductas necesarios para el desempeño de sus funciones. La entidad debe contar con estándares debidamente documentados de las competencias, habilidades, aptitudes e idoneidad de sus funcionarios. Así mismo, debe determinar las políticas y prácticas de gestión humana que aplicará la entidad al realizar los procesos de selección, inducción, formación, capacitación, sistemas de compensación o remuneración y de evaluación del desempeño de sus empleados en todos sus niveles, las cuales deben ser diseñadas e implementadas para facilitar un

efectivo control interno, ya sea que se realice el proceso directamente o a través de terceros. Título I CAPITULO NOVENO Página 55 - 7 Obligaciones especiales de las entidades vigiladas Circular Externa 038 de 2009 Septiembre de 2009 SUPERINTENDENCIA FINANCIERA DE COLOMBIA iv. Determinación de una estructura organizacional que permita soportar el alcance del SCI y que defina claramente los niveles de autoridad y responsabilidad, precisando el alcance y límite de los mismos. La estructura organizacional debe estar armonizada con el tamaño y naturaleza de las actividades de la entidad, soportando el alcance del SCI.

1. Establecimiento de objetivos que deben estar alineados con la misión, visión y objetivos estratégicos de la entidad, para que a partir de esta definición, se formule la estrategia y se determinen los correspondientes objetivos operativos, de reporte y de cumplimiento para la organización.

Para el efecto, se entiende por objetivos operativos aquellos que se refieren a la utilización eficaz y eficiente de los recursos en las operaciones de la entidad. Deben reflejar la razón de ser de las organizaciones y van dirigidos a la consecución del objeto social, constituyendo una parte fundamental del proceso de construcción de las estrategias y de la asignación de los recursos disponibles. Los objetivos de reporte o de información se enmarcan en la preparación y publicación de estados financieros y otros informes que divulga la entidad, cuya confiabilidad constituye un factor de suma importancia en las relaciones con los diferentes sectores o grupos de interés con los cuales se interrelaciona la organización, además de ser un elemento vital de la gestión interna. Finalmente, los objetivos de cumplimiento se refieren a aquellos encaminados a asegurar

razonablemente el cumplimiento por parte de la entidad de las normas legales y los reglamentos que le sean aplicables. Los referidos objetivos deben ser coherentes y realistas, ser difundidos a todos los niveles de la entidad y actualizarse en forma periódica. La alta dirección de la entidad deberá transmitir a todos los niveles de la organización su compromiso y liderazgo respecto de los controles internos y los valores éticos, involucrando a todos los funcionarios para que asuman la responsabilidad que les corresponde frente al SCI. 7.5.2 Gestión de Riesgos Las entidades deben preservar la eficacia, eficiencia y efectividad de su gestión y capacidad operativa, así como salvaguardar los recursos que administren, para lo cual deberán contar con un sistema de administración de riesgos que permita la minimización de los costos y daños causados por éstos, con base en el análisis del contexto estratégico, así como la determinación de métodos para el tratamiento y monitoreo de sus riesgos, con el propósito de prevenir o evitar la materialización de eventos que puedan afectar el normal desarrollo de los procesos y el cumplimiento de los objetivos empresariales, o, en caso de que ello no resulte razonablemente posible, de mitigar su impacto. Para el efecto, deberán adelantar como mínimo los siguientes procedimientos1:

1. Identificar las amenazas que enfrenta la entidad y las fuentes de las mismas. ii. Autoevaluar los riesgos existentes en sus procesos, identificándolos y priorizándolos a través de un ejercicio de valoración, teniendo en cuenta los factores propios de su entorno y la naturaleza de su actividad. iii. Medir la probabilidad de ocurrencia de los riesgos y su impacto sobre los recursos de la entidad

(económicos, humanos, entre otros), así como sobre su credibilidad y buen nombre, en caso de

materializarse. Esta medición podrá ser cualitativa y, cuando se cuente con datos históricos, cuantitativa. iv. Identificar y evaluar con criterio conservador, los controles existentes y su efectividad, mediante un proceso de valoración realizado con base en la experiencia y un análisis razonable y objetivo de los eventos ocurridos.

1. Construir los mapas de riesgos que resulten pertinentes, los cuales deben ser actualizados periódicamente, permitiendo visualizarlos de acuerdo con la vulnerabilidad de la organización a los mismos. vi. Implementar, probar y mantener un proceso para administrar la continuidad de la operación de la entidad, que incluya elementos como: prevención y atención de emergencias, administración de crisis, planes de contingencia para responder a las fallas e interrupciones específicas de un sistema o proceso y capacidad de retorno a la operación normal. vii. Divulgar entre los funcionarios que intervienen en los procesos respectivos, los mapas de riesgos y las políticas definidas para su administración. viii. Gestionar los riesgos en forma integral, aplicando diferentes estrategias que permitan llevarlos hacia niveles tolerables. Para cada riesgo se debe seleccionar la alternativa que presente la mejor relación entre el beneficio esperado y el costo en que se debe incurrir para su tratamiento.

Entre las estrategias posibles se encuentran las de evitar los riesgos, mitigarlos, compartirlos, transferirlos, aceptarlos o aprovecharlos, según resulte procedente. 1 Para mayor orientación sobre este tema se puede acudir a la guía de COSO Integrado (Committe Sponsoring Organization of the Treadway Commission Committee of Sponsoring Organizations of the Treadway Commission and Enterprise Risk Management — Integrated Framework). Título I CAPITULO NOVENO Página 55 - 8

Obligaciones especiales de las entidades vigiladas Circular Externa 038 de 2009 Septiembre de 2009 SUPERINTENDENCIA FINANCIERA DE COLOMBIA ix. Registrar, medir y reportar los eventos de pérdidas por materialización de riesgos.

1. Hacer seguimiento a través de los órganos competentes, de acuerdo al campo de acción de cada uno de ellos, estableciendo los reportes o acciones de verificación que la administración de la entidad y los jefes de cada órgano social considere pertinentes. xi. Definir las acciones correctivas y preventivas derivadas del proceso de seguimiento y evaluación de los riesgos (planes de mejoramiento).

Las entidades deben seguir adicionalmente las instrucciones especiales que en materia de gestión de ciertos riesgos se establecen en la presente circular y en la Circular Básica Financiera y Contable de la SFC (incluyendo entre otras, según resulten aplicables en virtud del objeto social de la entidad, las normas sobre gestión de riesgos de mercado –SARM, riesgo de crédito –SARC, riesgo operativo – SARO, riesgo de liquidez –SARL, riesgo de lavado de activos y de la financiación del terrorismoSARLAFT y riesgo de garantías –SARG, Sistema Especial de Administración de Riesgos de Seguros – SEARS), ajustándose a los plazos y condiciones específicos establecidos de manera especial para cada uno de ellos Es importante reiterar que los sistemas de gestión de riesgos específicos antes mencionados, no son independientes del Sistema de Control Interno, sino que forman parte integral del mismo. Así, la administración de riesgos es uno de los elementos fundamentales del SCI para lograr la eficacia y eficiencia de las operaciones, la confiabilidad de los reportes financieros y el cumplimiento de leyes, normas y

reglamentos. Los sistemas de control interno y de administración de riesgos son transversales en todas y cada una de las actividades, procesos y áreas de la entidad, por ello su importancia en el logro de los objetivos estratégicos y de calidad de la información que genera la organización. 7.5.3 Actividades de Control Las actividades de control son las políticas y los procedimientos que deben seguirse para lograr que las instrucciones de la administración con relación a sus riesgos y controles se cumplan. Las actividades de control se distribuyen a lo largo y a lo ancho de la organización, en todos los niveles y funciones. Lo anterior incluye entonces, el establecimiento de unas actividades obligatorias para todas las áreas, operaciones y procesos de la entidad, entre las cuales se encuentran, entre otras, las siguientes:

1. Revisiones de alto nivel, como son el análisis de informes y presentaciones que solicitan los miembros de junta directiva y otros altos directivos de la organización para efectos de analizar y monitorear el progreso de la entidad hacia el logro de sus objetivos; detectar problemas, tales como deficiencias de control, errores en los informes financieros o actividades fraudulentas, y adoptar los correctivos necesarios. ii. Gestión directa de funciones o actividades. iii. Controles Generales, que rigen para todas las aplicaciones de sistemas y ayudan a asegurar su continuidad y operación adecuada. Dentro de éstos se incluyen aquellos que se hagan sobre la administración de la tecnología de información, su infraestructura, la administración de seguridad y la adquisición, desarrollo y mantenimiento del software. iv. Controles de aplicación, los cuales incluyen pasos a través de sistemas tecnológicos y manuales de procedimientos relacionados. Se centran directamente en la suficiencia,

exactitud, autorización y validez de la captura y procesamiento de datos. Ayudan a asegurar que los datos se capturan o generan en el momento de necesitarlos, que las aplicaciones de soporte estén disponibles y que los errores de interfase se detecten rápidamente. Un objetivo importante de los controles de aplicación es prevenir que los errores se introduzcan en el sistema, así como detectarlos y corregirlos una vez involucrados en él. Si se diseñan correctamente, pueden facilitar el control sobre los datos introducidos en el sistema.

1. Limitaciones de acceso a las distintas áreas de la organización, de acuerdo con el nivel de riesgo asociado a cada una de ellas, teniendo en cuenta tanto la seguridad de los funcionarios de la entidad como de sus bienes, de los activos de terceros que administra y de su información. vi. Acompañamiento a los visitantes de la entidad para controlar que sólo ingresen a los sitios permitidos y que no realicen ningún acto que afecte la seguridad de los equipos o de la información que en ellos se procesa. vii. Controles físicos adicionales que resulten necesarios. viii. Indicadores de rendimiento. ix. Segregación de funciones.
2. Acuerdos de confidencialidad. xi. Procedimientos de control. xii. Difusión de las actividades de control.

Las actividades de control son seleccionadas y desarrolladas considerando la relación beneficio / costo y su potencial efectividad para mitigar los riesgos que afecten en forma material el logro de los objetivos de la organización. Dichas actividades implican una política que establece lo que debe hacerse y adicionalmente los procedimientos para llevarla a cabo. Todas estas actividades deben tener como principal objetivo la Título I CAPITULO NOVENO Página 55 - 9

Obligaciones especiales de las entidades vigiladas Circular Externa 038 de 2009 Septiembre de 2009 SUPERINTENDENCIA FINANCIERA DE COLOMBIA determinación y prevención de los riesgos (potenciales o reales), errores, fraudes u otras situaciones que afecten o puedan llegar a afectar la estabilidad y/o el prestigio de la entidad. Adicionalmente deberán considerarse las actividades de control requeridas específicamente en el numeral 7.6 de este capítulo respecto a la gestión contable y tecnológica. 7.5.4 Información y Comunicación Teniendo en cuenta que la operación de una entidad depende en gran medida de sus sistemas de información, es necesario adoptar controles que garanticen la seguridad, calidad y cumplimiento de la información generada. Los sistemas de información y comunicación son la base para identificar, capturar e intercambiar información en una forma y período de tiempo que permita al personal cumplir con sus responsabilidades y a los usuarios externos contar oportunamente con elementos de juicio suficientes para la adopción de las decisiones que les corresponde en relación con la respectiva entidad. 7.5.4.1 Información Este sistema debe ser funcional para el suministro de información que permita dirigir y controlar el negocio en forma adecuada. Asimismo, deben permitir manejar tanto los datos internos como aquellos que se reciban del exterior. Las entidades sometidas a inspección y vigilancia deben contar con sistemas que garanticen que la información cumpla con los criterios de seguridad (confidencialidad, integridad y disponibilidad), calidad (efectividad, eficiencia, y confiabilidad) y cumplimiento, para lo cual deberán establecer controles generales y específicos para la entrada, el procesamiento y la salida de la información, atendiendo su importancia relativa

y nivel de riesgo. Ello incluye, cuando menos, las siguientes actividades:

1. Identificar la información que se recibe y su fuente. ii. Asignar el responsable de cada información y las personas que pueden tener acceso a la misma. iii. Diseñar formularios y/o mecanismos que ayuden a minimizar errores u omisiones en la recopilación y procesamiento de la información, así como en la elaboración de informes. iv. Diseñar procedimientos para detectar, reportar y corregir los errores y las irregularidades que puedan presentarse.
2. Establecer procedimientos que permitan a la entidad retener o reproducir los documentos fuente origínales, para facilitar la recuperación o reconstrucción de datos, así como para satisfacer requerimientos legales. vi. Definir controles para garantizar que los datos y documentos sean preparados por personal autorizado para hacerlo. vii. Implementar controles para proteger adecuadamente la información sensible contra acceso o modificación no autorizada. viii. Diseñar procedimientos para la administración del almacenamiento de información y sus copias de respaldo. ix. Establecer parámetros para la entrega de copias, a través de cualquier modalidad (papel, medio magnético, entre otros).
3. Clasificar la información (en pública, privada o confidencial, según corresponda). xi. Verificar la existencia o no de procedimientos de custodia de la información, cuando sea del caso, y de su eficacia. xii. Implementar mecanismos para evitar el uso de información privilegiada, en beneficio propio o de terceros. xiii. Detectar deficiencias y aplicar acciones de mejoramiento. xiv. Cumplir los requerimientos legales y reglamentarios.

Además de la información que deba proporcionarse al mercado y a la Superintendencia de conformidad con las normas vigentes, debe difundirse, de acuerdo con lo que los administradores de la entidad consideren pertinente, la información que hace posible conducir y controlar la organización, sin perjuicio de aquella que sea de carácter privilegiado, confidencial o reservado, respecto de la cual deberán adoptarse todas las medidas que resulten necesarias para su protección, incluyendo lo relacionado con su almacenamiento, acceso, conservación, custodia y divulgación. Se entiende por información sujeta a reserva o privilegiada aquella a la cual sólo tienen acceso directo ciertas personas (sujetos calificados), en razón de su profesión u oficio, la cual, por su carácter, está sujeta a reserva, ya que de conocerse podría ser utilizada con el fin de obtener provecho o beneficio para sí o para un tercero. Con tal propósito, los administradores de la entidad deben definir políticas de seguridad de la información, mediante la ejecución de un programa que comprenda, entre otros, el diseño, implantación, divulgación, educación y mantenimiento de las estrategias y mecanismos para administrar la seguridad de la información, lo cual incluye, entre otros mecanismos, la celebración de acuerdos de confidencialidad, en aquellos Título I CAPITULO NOVENO Página 55 - 10 Obligaciones especiales de las entidades vigiladas Circular Externa 038 de 2009 Septiembre de 2009 SUPERINTENDENCIA FINANCIERA DE COLOMBIA casos en los cuales resulte indispensable suministrar información privilegiada a personas que en condiciones normales no tienen acceso a la misma.

La confidencialidad es uno de los elementos más importantes de la seguridad de la información y tiene como propósito garantizar que ella sólo pueda ser conocida, consultada y divulgada por personas autorizadas. Este elemento está directamente relacionado con el principio de “prudencia”, necesario para evitar la filtración, difusión inapropiada y tergiversación de la información. Lo anterior se entiende sin perjuicio de lo establecido en el Sistema de Administración de Riesgo Operativo –SARO y en el Título I, Capítulo décimo segundo de la presente circular respecto a los requerimientos mínimos de seguridad y calidad en el manejo de información a través de medios y canales de distribución de productos y servicios. 7.5.4.2 Comunicación La entidad debe mantener una comunicación eficaz, que fluya en todas las direcciones a través de todas las áreas de la organización (de arriba hacia abajo, a la inversa y transversalmente). Cada empleado debe conocer el papel que desempeña dentro de la organización y dentro del SCI y la forma en la cual las actividades a su cargo están relacionadas con el trabajo de los demás. Para el efecto, la entidad deberá disponer de medios para comunicar la información significativa, tanto al interior de la organización como hacia su exterior. Como parte de una adecuada administración de la comunicación, se deben identificar cuando menos los siguientes elementos:

1. Canales de comunicación ii. Responsables de su manejo iii. Requisitos de la información que se divulga iv. Frecuencia de la comunicación
2. Responsables vi. Destinatarios vii. Controles al proceso de comunicación Adicionalmente los administradores de la entidad deben adoptar los procedimientos necesarios para garantizar la calidad, oportunidad, veracidad, suficiencia y en general el cumplimiento de todos los requisitos

que incidan en la credibilidad y utilidad de la información que la respectiva organización revela al público. El principio de transparencia que rige el mercado de valores y el sistema financiero exige que se proporcione a los consumidores financieros y demás participantes del mercado, en igualdad de condiciones, información oportuna, suficiente y de calidad sobre los datos y hechos relevantes que permitan una adecuada formación de precios y la adopción de decisiones debidamente fundamentadas. De esta manera se disminuye el riesgo de desigualdad de oportunidades para actuar en el mercado, derivado del manejo de información privilegiada. En tal sentido, los administradores de las entidades supervisadas deben adoptarse las medidas y los controles que resulten necesarios para evitar el suministro de información privilegiada a uno o más participantes del mercado. 7.5.5 Monitoreo Es el proceso que se lleva a cabo para verificar la calidad de desempeño del control interno a través del tiempo. Se realiza por medio de la supervisión continua que realizan los jefes o líderes de cada área o proceso como parte habitual de su responsabilidad frente al control interno (vicepresidentes, gerentes, directores, etc. dentro del ámbito de la competencia de cada uno de ellos), así como de las evaluaciones periódicas puntuales que realicen la auditoría interna u órgano equivalente, el presidente o máximo responsable de la organización y otras revisiones dirigidas. El SCI no puede ser estático, sino dinámico, ajustándose en forma permanente a las nuevas situaciones del entorno. Con tal fin, es importante que se establezcan controles o alarmas tanto en los sistemas que se lleven en forma manual como en los que se lleven en forma computarizada, de manera que permanentemente se valore la calidad y el desempeño del sistema en el tiempo y se realicen las acciones de

mejoramiento necesarias, pues ello equivale a una actividad de supervisión y administración. Para efectos de lo anterior, dicho monitoreo se debe realizar en todas las etapas de los procesos y en tiempo real en el curso de las operaciones. Las evaluaciones permanentes y separadas permiten a la alta dirección determinar si el control interno está presente y funciona en forma adecuada en el tiempo. Las deficiencias de control interno deben ser identificadas y comunicadas de manera oportuna a las partes responsables de tomar acciones correctivas y, cuando resulten materiales, informarse también a la junta directiva u órgano equivalente. Título I CAPITULO NOVENO Página 55 - 11 Obligaciones especiales de las entidades vigiladas Circular Externa 038 de 2009 Septiembre de 2009 SUPERINTENDENCIA FINANCIERA DE COLOMBIA 7.5.6 Evaluaciones independientes Aunque los procedimientos de seguimiento permanente, así como la autoevaluación de cada área, proporcionan una retroalimentación importante, es necesario realizar adicionalmente evaluaciones que se centren directamente sobre la efectividad del SCI, las cuales deben ser realizadas por personas totalmente independientes del proceso, como requisito indispensable para garantizar su imparcialidad y objetividad. Se cumple con el requisito de estas evaluaciones independientes a través de los auditores internos y del revisor fiscal, en la medida en que el alcance de la evaluación hecha por éstos respecto al control interno de la respectiva entidad tenga el alcance y la cobertura requeridos en la presente circular. Lo anterior sin perjuicio de que la administración, si así lo considera conveniente, utilice como práctica de buen gobierno corporativ