SFC - Holding financiero. Acceso a información de las entidades que lo conforman Concepto 2021230954-008 del 2 de febrero de 2022 id2021230954-008

HOLDING FINANCIERO, ACCESO A INFORMACIÓN DE LAS ENTIDADES QUE LO CONFORMAN Concepto 2021230954-008 del 2 de febrero de 2022

Síntesis: Las entidades que integran un conglomerado financiero deben poner a disposición del respectivo holding toda la información necesaria para la efectiva gestión de los riesgos de exposición y concentración como la identificación de sus vinculados, de las operaciones que realicen con éstos, etc. No obstante, tal obligación no las exime de cumplir con su deber de mantener la reserva bancaria sobre los datos confidenciales de sus clientes y/o usuarios. «(…) formula una serie de preguntas acerca de la autorización con que cuenta el respectivo holding financiero para acceder y analizar dicha información, así como los requisitos y condiciones para ello.

Con el objeto de absolver los interrogantes planteados, y en atención a los términos de su consulta, estimamos pertinente referirnos, de manera preliminar, al marco regulatorio al cual deben sujetarse los conglomerados financieros en Colombia. Así, sea lo primero anotar que, con el propósito de velar por la estabilidad del sistema financiero el legislador expidió la Ley 1870 de 2017 por medio de la cual estableció instrumentos de intervención para la regulación y supervisión de los conglomerados financieros, cuyos objetivos son, entre otros, fijar un marco adecuado de gestión frente a los riesgos financieros de los conglomerados financieros y sus estándares de gobierno corporativo, así como propender por la obtención de información completa y oportuna que garantice la transparencia de sus operaciones y facilite el ejercicio de la supervisión consolidada. En desarrollo de tales instrumentos y en ejercicio, entre otras, de algunas de las facultades asignadas por el

numeral 5 de la mencionada ley, el Gobierno Nacional expidió el Decreto 1486 de 2018 (incorporado en el Libro 39 de la Parte 2 del Decreto 2555 de 2010), mediante el cual se fijaron los criterios para determinar la calidad de vinculados al conglomerado financiero y al holding financiero1; los lineamientos y mecanismos para que las entidades que hacen parte del conglomerado financiero identifiquen, administren y revelen los conflictos de interés; y se establecieron políticas y límites de exposición y concentración de riesgos para las operaciones celebradas entre entidades del conglomerado financiero y entre estas y sus vinculados. A su turno, con el fin de ejercer una supervisión comprensiva y consolidada de los conglomerados financieros, esta Superintendencia, conforme a lo dispuesto en el artículo 6 de la Ley 1870 de 2017 en el sentido de instruir a los holdings financieros respecto de la gestión de riesgos, control interno, revelación de información, conflictos de interés y gobierno corporativo, impartió las instrucciones actualmente contenidas en el Capítulo II, Título V de la Parte I de la Circular Básica Jurídica (Circular Externa 29 de 2014) y en el Capítulo XXX de la Circular Básica Contable y Financiera (Circular Externa 100 de 1995). Es con referencia a este marco normativo que procedemos a atender sus interrogantes de manera agrupada de acuerdo a su temática y en el orden propuesto: 1.¿El Holding Financiero está autorizado en virtud de la Ley 1870 de 2017 y demás normas aplicables, a

recibir y analizar la información de dichos clientes y contrapartes, integradas por personas naturales y jurídicas que están domiciliadas en Colombia y en el exterior? 1 De acuerdo al artículo 2.39.3.1.2 del Decreto 2555 de 2010 tendrán la calidad de vinculados a un conglomerado financiero quienes cumplan alguno de los siguientes criterios al menos frente a una de las entidades que haga parte del mismo: a) La existencia de control, subordinación y/o grupo empresarial b) una participación significativa en los términos del citado artículo. 2.¿El Holding Financiero está autorizado en virtud de la Ley 1870 de 2017 y demás normas aplicables, a recibir y analizar la información de dichos accionistas integrados tanto por personas naturales como jurídicas y que están domiciliadas en Colombia y en el exterior? Como lo indicamos en precedencia, la Ley 1870 de 2017 fue dictada con el fin de fortalecer la regulación y supervisión de los conglomerados financieros, para lo cual, además de definir los términos conglomerado financiero y holding financiero, fijó una serie de instrumentos de intervención del Gobierno Nacional en desarrollo de los cuales se expidió la regulación prevista en el Libro 39, de la Parte 2 del Decreto 2555 de 2010. De modo particular, en punto a su inquietud, conviene destacar que conforme a los artículos 2.39.3.2.1 y 2.39.3.2.2 del referido decreto los holdings financieros tienen la obligación de definir políticas (y límites) de exposición y de concentración de riesgos de las operaciones celebradas entre las entidades que integran el conglomerado financiero y entre estas y sus vinculados. Dichas políticas deben contener aspectos que

permitan, entre otros propósitos: i) identificar las respectivas operaciones y los riesgos materiales de la exposición asociada a las mismas, y ii) fijar límites cuantitativos para tales exposiciones y establecer mecanismos para su revelación con destino a esta Superintendencia, a la Asamblea General de Accionistas u órgano que haga sus veces y a los órganos de control interno y externo. Adicionalmente, tales políticas deben ser consistentes con los manuales, procesos y procedimientos definidos por el holding financiero, los cuales a su vez deben permitir la instrumentalización de aquellas, mediante la descripción de los mecanismos a través de los cuales se identificará, medirá, controlará y se hará el monitoreo de las exposiciones entre las entidades que conforman el conglomerado financiero y entre estas y sus vinculados. Así mismo, el artículo 2.39.3.2.4 ibidem prevé como deber de los holdings financieros identificar, actualizar permanentemente y mantener a disposición de esta Superintendencia “la información acerca de sus vinculados, de las exposiciones vigentes con estos, así como la información relacionada con las operaciones que se realicen entre las entidades que conforman el conglomerado financiero”, sin perjuicio de otra información que pueda requerir esta Autoridad para efectos de su labor de supervisión. En concordancia con lo anterior, el numeral 1 del Capítulo II, Título V de la Parte I de la Circular Básica Jurídica (Circular Externa 29 de 2014) señala que, adicional al deber de los holdings financieros de formular las mencionadas políticas que les permitan cumplir con la referida obligación frente a este Supervisor, es deber de las entidades integrantes de los conglomerados financieros preparar y poner a disposición de los primeros “toda la

información necesaria para la identificación de sus vinculados y contar con los mecanismos adecuados para reportarle las operaciones que realicen con éstos, así como las operaciones que realicen con otras entidades del conglomerado”. En el mismo sentido, el capítulo XXX de la Circular Básica Contable y Financiera (Circular Externa 100 de 1995), mediante el cual se imparten instrucciones relacionadas con el marco de gestión de riesgos de los conglomerados financieros (MGR), dispone que los holdings financieros deben contar con una infraestructura tecnológica y sistemas de información que permitan: i) tener una visión comprensiva de los riesgos (contagio, concentración y estratégico), ii) el funcionamiento del MGR y la toma de decisiones, y iii) el cumplimiento de los requerimientos normativos. Tal infraestructura debe contener, entre otros elementos, bases de datos actualizadas e información “suficiente y oportuna”. (Numeral 4). Como se advierte, ni la Ley 1870 de 2017, ni su reglamentación, ni las instrucciones expedidas en desarrollo de aquella definen el nivel de información que los holdings financieros deben solicitar para efectos de la gestión de los riesgos de los conglomerados. Por el contrario, dicho marco normativo delega en aquellos la determinación de tal asunto a través de sus respectivas políticas, en función de la que le resulte necesaria y suficiente para el efectivo cumplimiento del mencionado deber. Luego, la posibilidad de que un holding financiero acceda y analice la información de clientes, contrapartes, accionistas y vinculados (personas naturales y jurídicas domiciliadas en Colombia y en el exterior) de las entidades que conforman un conglomerado financiero es un asunto que deberá evaluarse y determinarse, en cada caso, en

consideración de lo previsto en las respectivas políticas de exposición y de concentración de riesgos. 3.En el evento en que las anteriores respuestas sean afirmativas, atentamente solicito a la SFC que me informe: a. ¿El Holding Financiero debe cumplir algún requisito o exigencia especial para aquellos casos en los que conoce datos de clientes, contrapartes y accionistas que son personas naturales y que están domiciliadas en Colombia y en el exterior? En concordancia con las precisiones realizadas en la respuesta anterior nos permitimos informarle que, de acuerdo con el precitado numeral 4 del capítulo XXX de la Circular Básica Contable y Financiera, la infraestructura tecnológica y sistemas de información que adopte el holding financiero en el marco de la gestión de riesgos de los conglomerados financieros deben incluir procedimientos que permitan garantizar la “confidencialidad, seguridad, calidad, disponibilidad, integridad, consistencia y consolidación” de esta. Lo anterior se entiende sin perjuicio de observar lo previsto en materia de habeas data en la Ley Estatutaria 1266 de 2008 y en sus decretos reglamentarios (Decretos 1727 de 2009 y 2952 de 2010), así como en la Ley Estatutaria 1581 de 2012 (mediante las cuales se regula, respectivamente, lo concerniente al manejo de la información financiera, crediticia, comercial, de servicios y la proveniente de terceros países, y el tratamiento de los datos personales) como también, en cuanto resulten pertinentes, las nomas de aquellas otras jurisdicciones en la cual se encuentran los titulares de la información. b. ¿Las entidades que integran el Conglomerado Financiero deben cumplir algún requisito o exigencia

especial para compartir la información de sus clientes, contrapartes y accionistas, en atención al deber de reserva bancaria? Sobre este particular sea lo primero indicar que, de acuerdo al literal i) del artículo 7 de la Ley 1328 de 2009, es deber de todas las entidades sujetas a la inspección, vigilancia y control de esta Superintendencia “Guardar la reserva de la información suministrada por el consumidor financiero y que tenga carácter de reservada en los términos establecidos en las normas correspondientes, sin perjuicio de su suministro a las autoridades competentes”. De conformidad con tal previsión normativa, el numeral 6, del Capítulo I, Título IV, de la Parte I de la Circular Básica Jurídica, señala que la reserva bancaria es, por un lado, una de las garantías más valiosas que tienen los consumidores financieros, quienes transfieren a nuestras vigiladas, a título de secreto, parte o toda su información personal e intimidad económica, y, por el otro, un deber que tienen aquellas y sus funcionarios de “guardar reserva y discreción sobre los datos de los consumidores financieros o sobre aquellos relacionados con la situación propia de la compañía, que conozcan en desarrollo de su profesión u oficio”. A fin de garantizar el mencionado derecho de los consumidores financieros, el mismo instructivo dispone que las vigiladas están obligadas a proteger la información confidencial de aquellos, para lo cual les corresponde adoptar procedimientos y mecanismos de control que eviten su filtración, así como también garantizar el adecuado cumplimiento de las disposiciones contenidas en las mencionadas Leyes 1266 de 2008 y 1581 de 2012. Cabe destacar que el artículo 3 de la citada Ley 1266 de 2008 prescribe que, en la administración de la información

personal y los datos de naturaleza privada recolectada por las fuentes, operadores o usuarios, se deben atender, entre otros, los siguientes principios: - Principio de finalidad. La administración de datos personales debe obedecer a una finalidad legítima de acuerdo con la Constitución y la ley. La finalidad debe informársele al titular de la información previa o concomitantemente con el otorgamiento de la autorización, cuando ella sea necesaria o en general siempre que el titular solicite información al respecto. - Principio de confidencialidad. Todas las personas naturales o jurídicas que intervengan en la administración de datos personales que no tengan la naturaleza de públicos están obligadas en todo tiempo a garantizar la reserva de la información, inclusive después de finalizada su relación con alguna de las labores que comprende la administración de datos, pudiendo sólo realizar suministro o comunicación de datos cuando ello corresponda al desarrollo de las actividades autorizadas en la presente ley y en los términos de la misma. Adicionalmente, señala la mencionada ley que la circulación de tal información es restringida en el sentido que solo puede ser puesta a disposición de sus titulares, las personas debidamente autorizadas por estos, las autoridades judiciales, administrativas y órganos de control y dependencias de investigación disciplinaria, fiscal, o administrativa, siempre y cuando actúen en ejercicio de sus funciones constitucionales y legales, así como a los operadores de datos en tanto se cuente con autorización del titular. Por tanto, aunque en los términos expuestos en los puntos 1 y 2 de este oficio a las entidades que integran un conglomerado financiero les asiste el deber de poner a disposición del respectivo holding toda la información necesaria para la identificación de sus vinculados, de las operaciones que realicen con éstos y de que celebren

con otras entidades del conglomerado, y cualquier otra información que sea necesaria para la efectiva gestión de los riesgos de exposición y concentración, de ninguna manera ello las exime de cumplir con su deber de mantener la confidencialidad o reserva bancaria sobre los datos confidenciales de sus clientes y/o usuarios. De tal manera, en el evento que un holding financiero requiera a una entidad vigilada integrante del mismo conglomerado el suministro de información objeto de la mencionada reserva, esta deberá, en cada caso particular, examinar que se cumplen los presupuestos legales para poder proceder con su entrega. (…).»