SFC - Circular Básica Financiera (Circular Externa 004 de 2026) - Parte 1 Capítulo 2 - SARE En control de cambios Post validaciones comentarios internos y externos

SUPERINTENDENCIA FINANCIERA DE COLOMBIA

PARTE 1

ADMINISTRACIÓN DE RIESGOS

CAPÍTULO 2

SISTEMA DE ADMINISTRACIÓN DE RIESGO DE LAS ENTIDADES

EXCEPTUADAS DEL SIAR (SARE)

INTRODUCCIÓN

SARE 1.2.1. Las entidades de las que trata el párrafo 1.2.5. del presente capítulo deben diseñar , implementar y mantener un sistema de administración de riesgo operacional, denominado Sistema de Administración de Riesgo de las Entidades Exceptuadas del SIAR (en adelante “SARE”). Este sistema es un conjunto de políticas, estrategias, prácticas, procedimientos, metodologías, controles y/o límites que actúan de manera integrada y coordinada que le permiten a la entidad establecer una cultura de riesgo e identificar, medir, controlar, monitorear y reportar oportunamente los riesgos, así como articular dicha gestión con su plan de negocio. 1.2.2. El SARE debe estar acorde con el perfil de riesgo, el plan de negocio, la naturaleza, el tamaño y la complejidad de las actividades que desarrolle la entidad, así como con el entorno económico y de los mercados en los que esta opera. Este sistema debe revisarse por lo menos una vez al año y actualizarse cuando resulte necesario con el fin de incorporar los cambios requeridos en los elementos antes indicados. 1.2.3. Para efectos del SARE, la entidad debe gestionar el riesgo operacional tanto a nivel individual como consolidado. Lo anterior, sin perjuicio de la responsabilidad de las entidades subordinadas de gestionar sus riesgos y su negocio. En este sentido cada una

de las subordinadas debe establecer un SARE, cuando esté obligada a hacerlo conforme al presente Capítulo, el cual debe estar en armonía con el sistema de administración de riesgos de la entidad controlante. 1.2.4. Como parte de la implementación del SARE, las entidades deben atender los lineamientos definidos en el presente capítulo, así como los señalados en las secciones 2, 3, 4 y 5 del capítulo 1 de la parte 1 de CBRAPIF, en relación con la gestión del riesgo operacional. Ámbito de aplicación 1.2.5. Las siguientes entidades deben diseñar, implementar y mantener un SARE: las sociedades corredoras de seguros y reaseguros, los almacenes generales de depósito, las sociedades de intermediación cambiaria y servicios financieros especiales, los organismos de autorregulación, las bolsas de valores, las sociedades administradoras de depósitos centralizados de valores, las sociedades calificadoras de valores, la cámara de riesgo central de contraparte, los fondos de garantías diferentes al Fondo Nacional de Garantías, las administradoras de sistemas de pago de bajo valor, las bolsas agropecuarias, las sociedades administradoras de sistemas de negociación y registro de divisas, las sociedades administradoras de sistemas de negociación de valores y de registro de operaciones sobre valores, las sociedades administradoras de sistemas de compensación y liquidación de divisas, los proveedores de precios para valoración, el Banco de la República, las titularizadoras, y las sociedades que realicen actividad de financiación colaborativa (SOFICO).

COMPONENTES DEL SARE

Etapas 1.2.6. Las entidades deben atender las siguientes etapas del SARE, las cuales hacen parte de un proceso continuo de gestión del riesgo:SUPERINTENDENCIA FINANCIERA DE COLOMBIA  Identificación 1.2.7. Consiste en determinar los riesgos (actuales y potenciales) inherentes a los procesos y/o las actividades que desarrolla o planea desarrollar la entidad. En el caso de la implementación de nuevas actividades o modificación sobre las que están en operación y/o cambios en el plan de negocio, esta etapa debe realizarse previamente.  Medición 1.2.8. Consiste en cuantificar y/o evaluar la exposición a los riesgos inherentes a los procesos y/o las actividades que desarrolla o planea desarrollar la entidad y su impacto en caso de materializarse. Esta medición debe ser cualitativa y/o cuantitativa.  Control 1.2.9. Consiste en establecer los mecanismos tendientes a mitigar y/o minimizar la posibilidad de ocurrencia e impacto de la materialización del riesgo inherente a los procesos y/o las actividades que desarrolla la entidad. Los controles deben permitirle a la entidad conocer el grado de cumplimiento de sus políticas, estrategias, procedimientos, metodologías, controles y el marco regulatorio; así como contar con información confiable, oportuna y completa.  Monitoreo 1.2.10. Consiste en realizar un seguimiento permanente y efectivo a las fuentes de riesgo, al perfil de riesgo, a la efectividad de los controles implementados y al posible impacto de la materialización de los riesgos. Adicionalmente, debe facilitar la rápida detección y

corrección de las deficiencias en el SARE. El monitoreo debe ser intensivo en relación con las deficiencias identificadas en la gestión de los riesgos y en los correctivos y las acciones de mejora. Políticas del SARE 1.2.11. Es el conjunto de directrices sobre las cuales se fundamenta la gestión de los riesgos de la entidad. Estas políticas deben: (i) ser claras, de conocimiento y cumplimiento de todos los funcionarios de la entidad y verse reflejadas en las responsabilidades y facultades que estos desempeñan; y (ii) estar soportadas e implementadas a través de procedimientos, estrategias, metodologías, modelos, controles y límites y/o umbrales. 1.2.12. La entidad debe como mínimo definir y adoptar políticas y procedimientos que le permitan cumplir con lo siguiente:  Gestión de riesgos 1.2.13. Divulgar el SARE a la Alta Gerencia (AG), a quienes desarrollen la función de gestión de riesgos, el revisor fiscal y la auditoría interna y a las unidades de negocio de la entidad. 1.2.14. Divulgar las políticas y elementos del SARE, incluidos los lineamientos de conducta o ética al interior de la entidad a fin de promover la cultura de riesgo y tomar las medidas correctivas y de mejora en caso de incumplimiento. 1.2.15. Instrumentar las etapas del SARE y sus elementos. 1.2.16. Revisar periódicamente la idoneidad y funcionamiento del SARE y actualizarlo cuando resulte necesario.SUPERINTENDENCIA FINANCIERA DE COLOMBIA

1.2.17. Definir y aprobar los mercados, actividades o procesos que la entidad desarrolla y/o planea desarrollar o modificar. 1.2.18. Gestionar los riesgos inherentes a los nuevos mercados, procesos y/o actividades. 1.2.19. Tomar e implementar las acciones necesarias ante cambios en la exposición y el perfil de riego y los lineamientos de cuándo y a quiénes se escalan y reportan los eventos mencionados anteriormente. 1.2.20. Implementar las medidas necesarias ante la materialización de los riesgos y la revisión periódica de la efectividad de dichas medidas. 1.2.21. Diseñar e implementar el plan de contingencia y la gestión y plan de continuidad del negocio, así como realizar la revisión periódica de la efectividad de dichos planes. 1.2.22. Administrar el registro de eventos de riesgo operacional. 1.2.23. Contratar seguros y tercerizar en personas naturales y/o jurídicas el desarrollo de sus procesos, siempre que no implique la delegación de la profesionalidad.  Gobierno de riesgos y control 1.2.24. Asignar el personal, los recursos físicos, económicos y tecnológicos para el desarrollo, implementación y mantenimiento adecuado del SARE, así como las cualidades mínimas que estos deben de tener. 1.2.25. Capacitar al personal de la entidad para fortalecer sus competencias en materia de gestión de riesgos y para asegurar la efectiva ejecución de las funciones asignadas. 1.2.26. Contar con lineamientos de conducta o ética que orienten la actuación de los funcionarios

de la entidad para el efectivo y oportuno funcionamiento del SARE. 1.2.27. Evaluar la correspondencia entre el plan de negocio y el perfil de riesgo de la entidad y las funciones y atribuciones asignadas a la JD, la AG, a quienes desarrollen la función de gestión de riesgos, el revisor fiscal y la auditoría interna. 1.2.28. Identificar, administrar, revelar, comunicar y resolver los conflictos de interés en concordancia con el código de ética o conducta de la entidad y la legislación vigente. 1.2.29. Gestionar, comunicar, y aprobar las operaciones intragrupo y con vinculados y partes relacionadas. 1.2.30. Promover la consistencia del SARE con el sistema de control interno, en los términos del capítulo IV del título IV de la parte I de la CBJ.  Información 1.2.31. Comunicar a la JD y a la AG la información relacionada con la gestión de riesgos, incluidos los hallazgos y recomendaciones formulados por quienes desarrollen las funciones de gestión de riesgos, auditoría interna y revisoría fiscal.SUPERINTENDENCIA FINANCIERA DE COLOMBIA 1.2.32. Atender los requerimientos de información por parte de la Superintendencia Financiera de Colombia (SFC) y/o demás autoridades competentes, así como contar con los mecanismos para validar la calidad de la información suministrada.

ESTRUCTURA DE GOBIERNO DE RIESGOS

1.2.33. La entidad debe contar con una estructura organizacional apropiada para la gestión de los riesgos y cumplimiento del SARE, la cual debe estar en línea con el negocio y riesgos

a los que está expuesta. Esta estructura debe incluir: a. Los procedimientos que le permitan a la entidad la toma de decisiones informadas, la gestión de los riesgos, diseño y seguimiento del SARE, y el reporte y rendición de cuentas. b. Las funciones y responsabilidades claramente definidas para las áreas y el personal de la entidad que participan en la gestión de riesgos, así como procedimientos para evaluar su desempeño. 1.2.34. Las unidades de negocio de la entidad deben hacer parte de la gestión integral del riesgo en la medida en que estas toman y/o generan exposición al riesgo y por tanto son responsables de su continua gestión. Por lo anterior, las políticas, prácticas, estrategias, procedimientos, metodologías, modelos y umbrales y/o límites de gestión de riesgos deben estar integradas en las actividades que desarrollan las unidades de negocio. 1.2.35. Para la adecuada gestión de los riesgos a nivel consolidado, la entidad obligada a consolidar debe: (i) contar con la información suficiente de las subordinadas, manteniendo en todo caso la seguridad de la información, e (ii) implementar los mecanismos de coordinación y de reporte que resulten necesarios. Junta Directiva 1.2.36. La JD debe como mínimo cumplir con las siguientes funciones y responsabilidades: a. Aprobar el plan de negocio de la entidad y verificar su cumplimiento. b. Aprobar y verificar el cumplimiento de: (i) las políticas del SARE, (ii) la tolerancia al riesgo, (iii) la estructura de gobierno de riesgos, (iv) las estrategias para

gestionar los riesgos y los conflictos de interés y su revelación; así como sus actualizaciones. Para lo anterior, la JD debe verificar que estos elementos sean acordes con el perfil de riesgo, el plan de negocio, la naturaleza, el tamaño, la complejidad y diversidad de las actividades que desarrolle la entidad, y los entornos económicos y de los mercados en donde la entidad opera. c. Aprobar los lineamientos de los informes internos que se le presenten en relación con la gestión de los riesgos, así como sus actualizaciones. d. Aprobar las medidas a implementar y realizar seguimiento a su aplicación y efectividad, cuando se presenten: (i) incrementos materiales en la exposición a los riesgos, y (ii) debilidades en el SARE para realizar una gestión de los riesgos acorde con las economías y mercados en donde opera la entidad, el marco regulatorio, el plan de negocio y el perfil de riesgo de la entidad, y (iii) las acciones correctivas y de mejora, una vez se hayan superado las instancias previas en la estructura de gobierno. e. Monitorear, por lo menos una vez al año, la efectividad e idoneidad del SARE para realizar una adecuada gestión de los riesgos y su concordancia con el plan de negocio y las economías y mercados en donde opera la entidad, así como aprobar las acciones de mejora. f. Aprobar, por lo menos una vez al año, la política de capacitación del personal que hace parte de la estructura del gobierno de riesgos de la entidad, así como losSUPERINTENDENCIA FINANCIERA DE COLOMBIA lineamientos en materia de ética o conducta y control interno relacionados con el

SARE. 1.2.37. Las decisiones que tome la JD en desarrollo de las atribuciones antes mencionadas deben constar por escrito en el acta de la reunión respectiva y estar debidamente motivadas. Representante legal 1.2.38. El representante legal debe, bajo la dirección y supervisión de la JD, ejecutar y monitorear la implementación y cumplimiento del plan de negocio y el SARE, razón por la cual debe como mínimo cumplir con las siguientes funciones y responsabilidades:  Gestión de riesgos 1.2.39. En relación con la gestión de riesgos, el representante legal debe: a. Someter a aprobación de la JD: (i) el plan de negocio, (ii) las políticas SARE, (iii) la tolerancia al riesgo, (iv) la estructura de gobierno de riesgos, (v) las estrategias para gestionar los riesgos y los conflictos de interés y su revelación (vi) los lineamientos de los informes internos que se le presenten en relación con la gestión de los riesgos; así como sus actualizaciones. De igual forma debe velar por su cumplimiento. b. Aprobar el manual del SARE, el plan de contingencia y el plan de continuidad del negocio. Este último debe contemplar los riesgos asociados a la interconectividad con otras infraestructuras y/o entidades vigiladas o proveedores (terceros). c. Evaluar la efectividad del plan de continuidad del negocio y de contingencia y verificar que se contemplen en el presupuesto para su oportuna ejecución. d. Monitorear que el SARE resulte adecuado para gestionar los riesgos y sea acorde con el perfil de riesgo, plan de negocio, naturaleza, tamaño y complejidad de la entidad, el marco regulatorio y las condiciones de las economías y mercados en donde esta opera. e. Velar porque el registro de eventos de riesgo operacional cumpla con los criterios

con el perfil de riesgo, plan de negocio, naturaleza, tamaño y complejidad de la entidad, el marco regulatorio y las condiciones de las economías y mercados en donde esta opera. e. Velar porque el registro de eventos de riesgo operacional cumpla con los criterios de integridad, confiabilidad, disponibilidad, cumplimiento, efectividad, eficiencia y confidencialidad de la información allí contenida, así como porque exista un procedimiento para alimentar dicho registro. f. Propender por la calidad y consistencia de la información. g. Revisar las políticas del SARE al menos una vez al año y proponer a la JD para su respectiva aprobación los ajustes correspondientes.  Reportes e información 1.2.40. En relación con los reportes de información, el representante legal debe: a. Informar trimestralmente a la JD sobre el desempeño de la entidad y su situación financiera, el estado de la cultura de riesgos y los problemas identificados en la gestión de riesgos junto con las respectivas recomendaciones. b. Informar oportunamente a la JD sobre: (i) los cambios o desviaciones frente al plan de negocio, (ii) cualquier situación o evento de riesgo que puedan comprometer la viabilidad del negocio o la confianza del público y garantizar que se tomen las medidas correctivas y/o acciones de mejora. c. Informar a la JD su análisis del resultado de los reportes recibidos de quienes desarrollen la función de gestión de riesgos. d. Informar oportunamente a la SFC sobre cualquier situación o evento de riesgo que comprometa la viabilidad del negocio o la confianza del público, así como las causasSUPERINTENDENCIA FINANCIERA DE COLOMBIA

que la originaron y las medidas que pondrán en marcha para corregir o enfrentar dicha situación. Función de gestión de riesgos 1.2.41. La entidad debe desarrollar la gestión de riesgos de manera organizacionalmente independiente de las unidades de negocio, las áreas de tecnología y demás dependencias que puedan generar conflictos de interés. Quienes desarrollen esta función deben: (i) tener acceso directo a la JD, la AG, a las unidades de negocio y demás dependencias de la entidad, así como a sus registros e información; y (ii) contar con el nivel jerárquico, la capacidad de decisión y la autoridad suficiente para cumplir con sus funciones y responsabilidades y para hacer recomendaciones y realizar seguimiento a las medidas adoptadas por la administración en respuesta a los problemas u oportunidades de mejora identificados.  Gestión de riesgos 1.2.42. Quienes desarrollen la gestión de riesgos en la entidad deben como mínimo cumplir con las siguientes funciones y responsabilidades: a. Elaborar con el representante legal el manual del SARE y sus actualizaciones. b. Desarrollar las políticas, los procedimientos, las metodologías, los modelos, los controles del SARE y el plan de continuidad de negocio y plan de contingencia. Presentar al representante legal las actualizaciones que resulten pertinentes. c. Evaluar, en coordinación con las demás áreas involucradas en la gestión de riesgos, el plan de continuidad del negocio y contingencia y el perfil al riesgo, incluido los riesgos inherentes de las nuevas actividades y/o mercados y su impacto en el perfil y gestión de riesgos de la entidad. d. Pronunciarse sobre las operaciones que no cumplan con las políticas y/o controles

de riesgo establecidos por la entidad o regulatorios y reportarlas a la mayor brevedad al representante legal y a los responsables de las unidades de negocio. e. Administrar el registro de eventos de riesgo operacional y coordinar la recolección de la información para dicho registro y, a partir de este, generar información que contribuya a la gestión de riesgos. f. Asesorar a la JD sobre operaciones, eventos o actividades que puedan afectar la exposición y perfil de riesgos de la entidad, generar desviaciones frente al plan de negocio o comprometer la viabilidad del negocio. g. Evaluar la coherencia entre el perfil de riesgo con la tolerancia al riesgo y el plan de negocio y emitir las correspondientes recomendaciones, cuando resulte necesario.  Reportes e información 1.2.43. En relación con los reportes de información, la función de riesgos debe: a. Reportar semestralmente a la JD y al representante legal, la evolución del riesgo operacional y su consistencia con el plan de negocio, los controles implementados y el monitoreo que se realice sobre el mismo, así como las acciones preventivas y correctivas implementadas o por implementar y el área responsable. En todo caso, se les debe informar oportunamente cuando se presenten incrementos significativos en la exposición al riesgo. b. Asegurar que la JD y la AG estén oportuna y debidamente informados sobre:

1. Los cambios en las condiciones del entorno económico, político y de los mercados, tanto local como externo, que puedan afectar el perfil de riesgo actual y futuro de la entidad y/o comprometer el cumplimiento de los controles y políticas del SARE.SUPERINTENDENCIA FINANCIERA DE COLOMBIA

1. Los riesgos inherentes a las nuevas actividades y/o mercados y su impacto en el perfil y gestión de riesgos de la entidad.

c. Reportar de forma oportuna y comprensible a la AG y a los responsables de las unidades de negocio los problemas identificados en la gestión del riesgo, junto con las respectivas recomendaciones. Auditoría interna 1.2.44. Sin perjuicio de las funciones y responsabilidades establecidas en el capítulo IV del título I de la parte I de la Circular Básica Jurídica, la auditoría interna es la responsable de: a. Evaluar anualmente la efectividad y cumplimiento del SARE, o cuando se presenten situaciones que requieran su revisión e informar a quien(es) desarrolle(n) la función de gestión de riesgos, al representante legal, al comité de auditoría y a la JD los resultados de dicha evaluación, así como el seguimiento a las recomendaciones, acciones de mejora y cumplimiento del plan de auditoría. b. Realizar el seguimiento a las recomendaciones o fallas identificadas en la gestión de riesgos que resulten de las evaluaciones de la SFC y de la propia auditoría interna, así como de los planes de acción y medidas adoptadas por la entidad. c. Informar a la SFC aquellas situaciones cuya materialidad pueda afectar el desarrollo del negocio y las acciones correctivas y de mejora que no hayan sido atendidas por la entidad. 1.2.45. La evaluación realizada por la auditoría interna respecto del SARE debe responder a los cambios en el entorno y en el perfil de riesgo de la entidad, así como basarse en los riesgos que esta enfrenta.

Revisor fiscal 1.2.46. Sin perjuicio de las funciones asignadas en otras disposiciones, el revisor fiscal debe incluir dentro de su plan de auditoria la evaluación periódica del cumplimiento de las instrucciones del SARE y debe elaborar un reporte anual con las conclusiones obtenidas en el proceso de evaluación y revisión de este, el cual debe quedar incluido en el dictamen sobre los estados financieros. Los mencionados reportes deben estar a disposición de la SFC. 1.2.47. Así mismo, el revisor fiscal debe informar de manera oportuna a: (i) la asamblea de accionistas o equivalentes, (ii) la JD, (iii) el representante legal y (iv) la SFC, sobre las irregularidades materiales que advierta en el cumplimiento de las instrucciones establecidas en el presente Capítulo y sobre las deficiencias en los controles internos. Dicho reporte debe estar debidamente documentado, incluyendo los resultados alcanzados, las acciones sugeridas y la respuesta de la entidad frente a sus observaciones.

INFRAESTRUCTURA TECNOLÓGICA Y SISTEMAS DE INFORMACIÓN

1.2.48. La entidad debe contar con los sistemas, el soporte tecnológico y la arquitectura de datos que permitan una visión comprensiva de los riesgos, el funcionamiento del SARE, la presentación de informes, la toma de decisiones, así como el cumplimiento de los requerimientos normativos. Esta infraestructura debe como mínimo contar con: a. Un sistema de reportes tanto internos como externos, acorde con el tamaño, naturaleza y complejidad de las operaciones que realiza la entidad.

b. Procedimientos para el manejo y almacenamiento de la información que permitan garantizar su confidencialidad, seguridad, calidad, disponibilidad, integridad, consistencia y consolidación. c. Bases de datos actualizadas e información suficiente y oportuna para realizar la gestión de riesgos.SUPERINTENDENCIA FINANCIERA DE COLOMBIA d. Reportes de información con medidas comparables de las entidades subordinadas, sujetándose a la normatividad aplicable, sus limitaciones y excepciones. Información interna 1.2.49. La entidad debe elaborar reportes periódicos que permitan: (i) establecer y conocer su perfil de riesgo y la correspondencia con el plan de negocio y las condiciones de las economías y de los mercados en donde esta opera, (ii) anticiparse los problemas, (iii) tomar decisiones informadas y (iv) proporcionar una evaluación de la gestión de los riesgos. 1.2.50. El contenido y la frecuencia de los reportes de gestión de riesgos deben reflejar las necesidades de los destinatarios y la naturaleza del riesgo informado. La frecuencia de los informes debe aumentar en escenarios adversos. Estos reportes deben revelar las hipótesis o supuestos que se utilizaron para presentar la información y las limitaciones en la estimación de los riesgos. 1.2.51. Adicionalmente los administradores de la entidad deben incluir en su informe de gestión anual un reporte sobre las funciones desempeñadas en materia de gestión de los riesgos. Este informe debe ser presentado a la JD y al representante legal de forma comprensible. Información externa 1.2.52.

Las entidades deben dar cumplimiento a las disposiciones de la Ley 1328 de 2009, el artículo 97 del Estatuto Orgánico del Sistema Financiero, y las demás normas concordantes o que las sustituyen o modifiquen, en relación con la divulgación y remisión de información al público y a la SFC.

DOCUMENTACIÓN

1.2.53. La entidad debe contar con la siguiente documentación como mínimo: a. El acta por medio de la cual la JD aprueba lo señalado en los literales (a), (b), (c), (d) y (f) del párrafo 1.2.36. b. La bitácora en la cual conste las actualizaciones y modificaciones del SARE. c. El manual del SARE, el cual debe incluir: las etapas, las políticas, las estrategias, los procedimientos, las metodologías y las responsabilidades y funciones del gobierno de riesgos, en relación con la gestión de los riesgos. Los ajustes a este manual deben estar documentados. d. Los modelos de riesgos. e. El plan de continuidad del negocio y el plan de contingencia. f. Los reportes elaborados por los diferentes órganos y funcionarios del gobierno de riesgos en relación con la gestión de riesgos y demás documentos que soporten el monitoreo de dicha gestión. g. El código de ética o conducta. h. La estructura organizacional del gobierno de riesgos.

1. El registro de eventos de riesgo operacional.

j. El registro de los indicadores para el monitoreo del riesgo operacional, así como las acciones correctivas y de mejora. 1.2.54. El SARE debe estar debidamente documentado, debe contar con un respaldo en medios verificables y contar con un plan de conservación, custodia y seguridad de la información, de forma tal que solo se permita su consulta por los funcionarios autorizados.