SUPERTRANSPORTE - Política Institucional para la Gestión Integral de Riesgos -DE-PO-01 V7

DIRECCIONAMIENTO ESTRATÉGICO

Política Institucional para la Gestión Integral de Riesgos

Página 1 de 80

Una vez se descargue o se imprima este documento, se considera copia no controlada

Código: DE-PO-001 Versión: 007

PRESENTACION La Superintendencia de Transporte, es la entidad encargada de supervisar la efectiva prestación del servicio público de transporte, su infraestructura y servicios conexos de forma incluyente, accesible y segura, propendiendo por el derecho fundamental a la vida y la protección a los usuarios, Tiene como visión para 2026 ser reconocida como una Entidad cercana e incluyente con sus grupos de valor e interés, a través, entre otros, del uso de tecnologías digitales, fomentando la legalidad, la construcción de la paz, la protección de los usuarios y la vida, en todo el territorio nacional.

En el marco del cumplimiento de su misión y visión ha definido tres objetivos estratégicos:

1. Implementar nuevas tecnologías con el fin de fortalecer los procesos de vigilanci a, Inspección y Control – VIC como motor de cambio, para promover la confianza y el vínculo Estado-Ciudadanía.

2. Fortalecer la promoción y prevención para contribuir al fomento de la legalidad, la seguridad y la inclusión social, orientadas a la protección de los usuarios y la vida.

3. Mejorar la capacidad institucional aumentado la cobertura territorial para contribuir a la consolidación de la paz y la protección de los usuarios.

Para aportar al fortalecimiento institucional, la entidad tiene definida en su ca dena de valor dieciséis (16) procesos, uno de ellos es el proceso de Direccionamiento Estratégico, cuyo objetivo

consolidación de la paz y la protección de los usuarios.

Para aportar al fortalecimiento institucional, la entidad tiene definida en su ca dena de valor dieciséis (16) procesos, uno de ellos es el proceso de Direccionamiento Estratégico, cuyo objetivo es establecer lineamientos estratégicos y de operación en la Entidad, mediante procedimientos y metodologías de planeación y mejoramiento conti nuo, para el cumplimiento de los objetivos institucionales, sectoriales y metas del Plan Nacional de Desarrollo.

Por lo anterior, el proceso lidera la implementación metodológica de la Política para la Gestión Integral de Riesgos asumiendo que la gestión del riesgo es un factor determinante para que la Superintendencia pueda lograr sus objetivos mediante la identificación, análisis, evaluación y tratamiento del efecto de la incertidumbre.

El propósito del presente documento es el de actualizar el establecimiento del marco general de actuación de todos los actores de la entidad para la gestión integral de los riesgos, mediante la identificación de acciones de control, emisión de respuestas oportunas y formulación de estrategias institucionales ante las sit uaciones que puedan afectar el cumplimiento de la misionalidad y el logro efectivo de objetivos institucionales, disminuyendo así las potenciales consecuencias negativas, y reduciendo las vulnerabilidades ante las amenazas internas yDIRECCIONAMIENTO ESTRATÉGICO Política Institucional para la Gestión Integral de Riesgos

Página 2 de 80

Una vez se descargue o se imprima este documento, se considera copia no controlada Código: DE-PO-001 Versión: 007 externas; adicionalmen te, permite mejorar las capacidades institucionales entorno a las

Una vez se descargue o se imprima este documento, se considera copia no controlada Código: DE-PO-001 Versión: 007 externas; adicionalmen te, permite mejorar las capacidades institucionales entorno a las respuestas a posibles eventos identificados o inesperados que afecten al equipo humano, la infraestructura tecnológica o servicios esenciales que a su vez generen impacto a los vigilados y la ciudadanía.

En este sentido, la Superintendencia de Transporte ha definido el marco de referencia que permite gestionar adecuadamente los eventos potenciales, tanto internos como externos, que puedan afectar el logro de los objetivos estratégicos y de l os procesos, lo cual se representa en la presente Política para la Gestión Integral de Riesgos, siendo definida como la declaración de la dirección y las intenciones generales de la organización respecto a la gestión del riesgo 1, estableciendo lineamientos precisos acerca de la identificación, valoración, tratamiento, manejo y seguimiento a los riesgos.

La política que se desarrolla a continuación especifica los objetivos, alcance, definiciones, marco normativo, principios y responsabilidades teniendo en cuenta el Modelo Integrado de Planeación y Gestión - MIPG, que plantea el esquema de “Líneas de Defensa” para la gestión del riesgo, de este mismo modo, establece los niveles de aceptación del riesgo, define la forma en que se identifican, analizan y valoran los riesgos. Todo lo anterior, se enmarca en las directrices emitidas por el Departamento Administrativo de la Función Pública en la versión 7 en la “Guía para la Gestión Integral del Riesgo en Entidades Públicas”.

Se establecen los lineamientos para la administración de los riesgos de Gestión, Seguridad de la

por el Departamento Administrativo de la Función Pública en la versión 7 en la “Guía para la Gestión Integral del Riesgo en Entidades Públicas”.

Se establecen los lineamientos para la administración de los riesgos de Gestión, Seguridad de la Información, Fiscales y Riesgos para la Integridad Pública. Con respecto a los Riesgos para la Integridad Pública se suministran las etapas de definición, valoración, monitoreo y seguimiento, de acuerdo con las directrices emitidas por la Secretaría de Transparencia de la Presidencia de la República, entidad que lidera la Política Pública de Transparencia, Integridad y Legalidad. Así como, la gestión de riesgos de seguridad de la información se basa en la Guía No. 7 de Gestión de riesgos del MINTIC.

Para la Superintendencia de Transporte la Política para la Gestión Integral de Riesgos representa la posición de la Alta Dirección frente al manejo de los Riesgos, en las que se fijan los lineamientos con relación a la Calificación de éstos, la forma de administrarlos y la protección de los recursos, estableciendo los parámetros para que todos los funcionarios y contratistas las apliquen al interior de los procesos. Esta política tiene un enfoque prevent ivo que permite la protección de los

1 NTC ISO 31000:2011. Gestión del Riesgo. Principios y Directrices.DIRECCIONAMIENTO ESTRATÉGICO Política Institucional para la Gestión Integral de Riesgos

Página 3 de 80

Una vez se descargue o se imprima este documento, se considera copia no controlada Código: DE-PO-001 Versión: 007 recursos públicos, el cumplimiento de los objetivos de la entidad y mejoramiento de la prestación

Una vez se descargue o se imprima este documento, se considera copia no controlada Código: DE-PO-001 Versión: 007 recursos públicos, el cumplimiento de los objetivos de la entidad y mejoramiento de la prestación de los servicios a la ciudadanía.

La actualización de la Guía para la Gestión Integral del Riesgo en Entidades Públicas Versión 7 que fue emitida durante el segundo semestre de la vigencia 2025, impulsa los siguientes aspectos:

I. Se mantiene la estructura conceptual y metodológica general para la gestión del riesgo bajo un enfoque integral, atendiendo las políticas de gestión y desempeño que se vinculan y su relación con otras políticas públicas y los sectores que las lideran.

II. Se define una estructura de administración general para la gestión integral del riesgo, con elementos comunes aplicables a todas las tipologías de riesgo.

III. Se amplían los términos y definiciones en concordancia con la aplicación de los nuevos elementos.

IV. Se pro fundiza el análisis sobre apetito del riesgo en el marco COSO -ERM (2017) que precisa y profundiza los conceptos de riesgo, gestión del riesgo y niveles de madurez del riesgo.

V. Se precisan contenidos conceptuales y ejemplos relacionados con la gestión preve ntiva de riesgos fiscales.

VI. Se modifica y actualiza el capítulo de riesgos asociados a posibles actos de corrupción, incorporando el Sistema de Gestión de Riesgos para la Integridad Pública - SIGRIP, de acuerdo con el componente programático de la Estrategi a Institucional para la Lucha Contra la Corrupción, temática 1 Administración del Riesgo indicado en el Anexo Técnico

acuerdo con el componente programático de la Estrategi a Institucional para la Lucha Contra la Corrupción, temática 1 Administración del Riesgo indicado en el Anexo Técnico de los Programas de Transparencia y Ética Pública.

VII. Se actualizan contenidos relacionados con los riesgos de seguridad de la información, desplegando la totalidad de los pasos metodológicos.DIRECCIONAMIENTO ESTRATÉGICO

Política Institucional para la Gestión Integral de Riesgos

Página 4 de 80

Una vez se descargue o se imprima este documento, se considera copia no controlada

Código: DE-PO-001 Versión: 007

TABLA DE CONTENIDO PRESENTACION ...................................................................... ¡Error! Marcador no definido.

1. OBJETIVO GENERAL .................................................................................................... 7

2. OBJETIVOS ESPECÍFICOS .......................................................................................... 7

3. ALCANCE....................................................................................................................... 8

4. DEFINICIONES .............................................................................................................. 8

5. MARCO NORMATIVO ................................................................................................... 9

6. RESPONSABILIDADES ................................................................................................. 9 6.1 Línea Estratégica ............................................................................................................ 9 6.1.1 Comité Institucional De Gestión y Desempeño. ........................................................... 10 6.1.2 Comité Institucional De Coordinación De Control Interno ............................................ 10 6.2 Líneas De Defensa ....................................................................................................... 10

7. DECLARACIÓN DE LA POLÍTICA PARA LA GESTIÓN INTEGRAL DE RIESGOS .... 13

8. LINEAMIENTOS DE POLÍTICA PARA LA GESTIÓN INTEGRAL DE RIESGOS ........ 14 8.1 Determinación del Nivel de madurez ............................................................................ 15 8.2 Metodología para la Gestión Integral del Riesgo .......................................................... 16

8. LINEAMIENTOS DE POLÍTICA PARA LA GESTIÓN INTEGRAL DE RIESGOS ........ 14 8.1 Determinación del Nivel de madurez ............................................................................ 15 8.2 Metodología para la Gestión Integral del Riesgo .......................................................... 16 8.3 Apetito, Tolerancia y Capacidad del Riesgo. ................................................................ 17 8.4 Identificación de riesgos. .............................................................................................. 19 8.4.1 Clasificación del Riesgo por Factor .............................................................................. 23 8.5 Identificación de áreas de impacto ............................................................................... 25 8.6 Identificación de áreas de factores de riesgo ............................................................... 25 8.7 Estructura de la descripción del Riesgo ....................................................................... 27 8.7.1 Análisis De Riesgo Inherente ....................................................................................... 28 8.7.2 Zonas de severidad ...................................................................................................... 30 8.8 Diseño, Análisis y Valoración de Controles .................................................................. 31DIRECCIONAMIENTO ESTRATÉGICO

Política Institucional para la Gestión Integral de Riesgos

Página 5 de 80

Una vez se descargue o se imprima este documento, se considera copia no controlada Código: DE-PO-001 Versión: 007 8.8.1 Diseño de controles ...................................................................................................... 33 8.8.2 Aplicación de controles y riesgo residual ...................................................................... 37 8.9 Tratamiento del Riesgo ................................................................................................ 38 8.10 Consolidación en el mapa de riesgos. .......................................................................... 39 8.10.1 Inactivación de un riesgo. ............................................................................................. 40

9. TIPOLOGÍAS DE RIESGO .................................................................................................. 40 9.1 Riesgos de Gestión. ..................................................................................................... 40 9.1.1 Monitoreo y seguimiento. ............................................................................................. 42 9.1.2 Materialización de riesgos. ........................................................................................... 43

9. TIPOLOGÍAS DE RIESGO .................................................................................................. 40 9.1 Riesgos de Gestión. ..................................................................................................... 40 9.1.1 Monitoreo y seguimiento. ............................................................................................. 42 9.1.2 Materialización de riesgos. ........................................................................................... 43 9.1.3 Materialización de riesgos no identificados. ................................................................. 44 9.2 Riesgos de Seguridad de la Información. ..................................................................... 44 9.2.1 Identificación de los activos de seguridad de la información. ....................................... 45 9.2.2 Identificación de Riesgos de Seguridad de la información. .......................................... 46 9.2.3 Consolidación en el Mapa de Riesgos ......................................................................... 50 9.2.4 Monitoreo y seguimiento. ............................................................................................. 50 9.2.5 Materialización de riesgos. ........................................................................................... 52 9.3 Riesgos Fiscales .......................................................................................................... 53 9.3.1 Identificación de áreas de factores de riesgo ............................................................... 53 9.3.2 Identificación del Riesgo ............................................................................................... 54 9.3.3 Identificación de Puntos de Riesgo Fiscales y Causa Inmediata.................................. 54 9.3.4 Identificación de áreas de impacto ............................................................................... 55 9.3.5 Identificar el efecto económico ..................................................................................... 56 9.3.6 Identificación de la causa raíz o potencial hecho generador ........................................ 57 9.3.7 Descripción del Riesgo Fiscal....................................................................................... 57 9.3.8 Monitoreo y seguimiento. ............................................................................................. 60 9.3.9 Materialización de riesgos. ........................................................................................... 62 9.3.10 Materialización de riesgos no identificados. ................................................................. 63DIRECCIONAMIENTO ESTRATÉGICO

Política Institucional para la Gestión Integral de Riesgos

Página 6 de 80

9.3.10 Materialización de riesgos no identificados. ................................................................. 63DIRECCIONAMIENTO ESTRATÉGICO Política Institucional para la Gestión Integral de Riesgos

Página 6 de 80

Una vez se descargue o se imprima este documento, se considera copia no controlada Código: DE-PO-001 Versión: 007 9.4 Sistema de Gestión de Riesgos para la Integridad Pública -SIGRIP ............................ 63 9.4.1 Integridad pública ......................................................................................................... 64 9.4.2 Amenazas para la integridad pública. ........................................................................... 65 Soborno ...................................................................................................................................... 65 Fraude ........................................................................................................................................ 65 Conflicto de intereses ................................................................................................................. 65 Corrupción .................................................................................................................................. 66 Lavado de Activos (LA), Financiación del Terrorismo (FT) y Financiación de la Proliferación de Armas de Destrucción Masiva (FP) - LA/FT/FP .......................................................................... 66 9.4.3 Operación del SIGRIP .................................................................................................. 66 9.4.4 Identificación de riesgos. .............................................................................................. 68 9.4.5 Identificación de áreas de impacto ............................................................................... 68 9.4.6 Identificación de áreas de factores de riesgo. .............................................................. 69 9.4.7 Estructura de la Descripción del riesgo. ....................................................................... 70 9.4.8 Monitoreo y seguimiento. ............................................................................................. 71 9.4.9 Materialización de riesgos. ........................................................................................... 73 9.4.10 Materialización de riesgos no identificados. ................................................................. 74

10. INDICADORES (KRI) ................................................................................................... 74

11. CONTROL Y SEGUIMIENTO....................................................................................... 75

12. CONTROL DE CAMBIOS DEL DOCUMENTO ............................................................ 75

9.4.10 Materialización de riesgos no identificados. ................................................................. 74

10. INDICADORES (KRI) ................................................................................................... 74

11. CONTROL Y SEGUIMIENTO....................................................................................... 75

12. CONTROL DE CAMBIOS DEL DOCUMENTO ............................................................ 75

ANEXO 1 .................................................................................................................................... 77DIRECCIONAMIENTO ESTRATÉGICO Política Institucional para la Gestión Integral de Riesgos

Página 7 de 80

Una vez se descargue o se imprima este documento, se considera copia no controlada

Código: DE-PO-001 Versión: 007

1. OBJETIVO GENERAL

Establecer los lineamientos estratégicos, el marco general y operativo que orienten la identificación, evaluación, tratamiento, monitoreo y comunicación de los riesgos en la Superintendencia de Transporte que puedan afectar el logro de los objetivos institucionales, en concordancia con el Modelo Integrado de Planeación y Gestión (MIPG) y las mejores prácticas internacionales de gestión de riesgos basadas en el marco COSO ERM. Es propósito de esta política es de fortalecer la gobernanza, la toma de decisiones informadas y la generación de valor público, preservando la integridad, transparencia y eficiencia en la administración de recursos. Igualmente, busca promover una cultura organizacion al orientada a la anticipación y gestión proactiva de riesgos, contribuyendo al cumplimiento de la misión institucional, la mejora continua, la confianza ciudadana y la protección de la integridad pública.

Lo anterior contemplando la relación con los diferentes grupos de valor con los que la entidad se relaciona, especialmente las contrapartes; las entidades sobre las que la organización tiene

institucional, la mejora continua, la confianza ciudadana y la protección de la integridad pública.

Lo anterior contemplando la relación con los diferentes grupos de valor con los que la entidad se relaciona, especialmente las contrapartes; las entidades sobre las que la organización tiene control y entidades que ejercen control sobre la organización; los procesos, servicios, trámites u otras operacio nes administrativas de la organización, especialmente aquellas que implican alguna interacción y las jurisdicciones o territorios donde se opera.

2. OBJETIVOS ESPECÍFICOS

• Establecer los lineamientos para la gestión integral de los riesgos en los procesos de l a entidad, así como los niveles de aceptación del riesgo, con el fin de mitigar los efectos ante la posibilidad de su materialización. • Establecer las directrices para la identificación, valoración, monitoreo y seguimiento de los riesgos de Gestión, Segurid ad de la Información, Fiscales y Riesgos para la Integridad Pública. • Brindar criterios para la estructuración de controles que reduzcan o mitiguen los riesgos identificados evitando su materialización. • Definir criterios para actuar de manera oportuna ante la materialización de los riesgos identificados. • Impulsar el reporte y análisis oportuno de los riesgos, así como la implementación de controles y acciones preventivas que permitan anticipar situaciones potenciales y responder con agilidad. • Mejorar el direccionamiento estratégico de la entidad.DIRECCIONAMIENTO ESTRATÉGICO

Política Institucional para la Gestión Integral de Riesgos

Página 8 de 80

Una vez se descargue o se imprima este documento, se considera copia no controlada

Política Institucional para la Gestión Integral de Riesgos

Página 8 de 80

Una vez se descargue o se imprima este documento, se considera copia no controlada Código: DE-PO-001 Versión: 007 • Apoyar la toma de decisiones y la planificación en función de la gestión basada en riesgos. • Fomentar una cultura de integridad que guíe el actuar diario de todos nuestros colaboradores hacia la transparencia, la responsabilidad y el servicio a la ciudadanía • Gestionar los riesgos de seguridad de la información, con el fin que se prevengan o reduzcan efectos indeseados en los activos de información y se consideren oportunidades que permitan el mejoramiento continuo. • Brindar criterios para la estructuración de riesgos y controles de eventos considerados como materializados no identificados que afecten el cumplimiento de los objetivos de los procesos.

3. ALCANCE

La Política de Gestión Integral del Riesgo de la Superintend encia de Transporte aplica a todas las dependencias, procesos, servidoras, servidores de la entidad en todos los niveles jerárquicos y áreas misionales, estratégicas y de apoyo, así como a los contratistas y terceros que ejecuten actividades en su nombre. Comprende la gestión de riesgos en el direccionamiento estratégico, la planeación, ejecución presupuestal, prestación de servicios, trámites administrativos, adopción de tecnologías, fortalecimiento organizacional, y la implementación de proyectos, program as y sistemas de gestión institucionales.

En cuanto al contexto organizacional, la política considera las relaciones con los diferentes grupos de valor con los que la Superintendencia interactúa, incluyendo empresas vigiladas del sector

sistemas de gestión institucionales.

En cuanto al contexto organizacional, la política considera las relaciones con los diferentes grupos de valor con los que la Superintendencia interactúa, incluyendo empresas vigiladas del sector transporte terrestre, aéreo, férreo, marítimo y fluvial; usuarios del servicio de transporte; entidades del Estado y organismos de control; autoridades territoriales; gremios y asociaciones del sector; proveedores y contratistas. Reconoce la relación de adscripción al Mini sterio de Transporte y el control que ejerce sobre las entidades del sector bajo su competencia. La política opera donde la entidad ejerce sus funciones de inspección, vigilancia y control, articulándose con el Sistema de Control Interno bajo el enfoque de las tres líneas de defensa.

4. DEFINICIONES

DE-GL-001

Glosario Direccionamiento Estratégico [Ver. 001 // Rev. 01 // FV. 2025-10-24]DIRECCIONAMIENTO ESTRATÉGICO Política Institucional para la Gestión Integral de Riesgos

Página 9 de 80

Una vez se descargue o se imprima este documento, se considera copia no controlada

Código: DE-PO-001 Versión: 007

5. MARCO NORMATIVO

Normograma_Direccionamiento_Estrategico.xlsx

6. RESPONSABILIDADES

Ilustración 1. Roles y responsabilidades de las líneas de defensa.

Fuente: Adaptado de la Guía para la administración del riesgo y el diseño de controles en Entidades públicas. Versión 6. 2022.

Las actividades que deben ser realizadas por las líneas de defensa para la adecuada gestión de riesgos en la Superintendencia de Transporte son:

6.1 Línea Estratégica

Entidades públicas. Versión 6. 2022.

Las actividades que deben ser realizadas por las líneas de defensa para la adecuada gestión de riesgos en la Superintendencia de Transporte son:

6.1 Línea Estratégica

Se compromete con definir, aprobar, evaluar y dar línea a la Política para la Gestión Integral de Riesgos, en el marco del Comité Institucional de Gestión y Desempeño - CIGD. Debe aplicar el monitoreo a la Gestión del Riesgo como mínimo dos veces al año, haciendo uso de la información suministrada periódicamente por la 2a y 3ª línea de defensa, con lo cual toma decisiones y acciones necesarias para intervenir en los distintos eventos o escenarios que se puedan presentar, evitando que se generen incumplimien tos, retrasos e incluso posibles actuaciones irregulares propendiendo el cumplimiento de los objetivos de los procesos y de la entidad. EnDIRECCIONAMIENTO ESTRATÉGICO Política Institucional para la Gestión Integral de Riesgos

Página 10 de 80

Una vez se descargue o se imprima este documento, se considera copia no controlada Código: DE-PO-001 Versión: 007 especial, si se han presentado materializaciones de riesgo debe efectuar seguimiento a las acciones planteadas en la presente política.

6.1.1 Comité Institucional De Gestión y Desempeño.

El Comité se encarga de orientar la implementación y funcionamiento del MIPG. Para ello, desarrolla funciones clave que influyen directamente en la gestión de riesgos, como:

• Aprobar y hacer seguimiento a las estrategias del MIPG, incluida la política de gestión de

desarrolla funciones clave que influyen directamente en la gestión de riesgos, como:

• Aprobar y hacer seguimiento a las estrategias del MIPG, incluida la política de gestión de riesgos, y promover su actualización periódica. • Coordinar esfuerzos institucionales y alinear recursos y metodologías para fortalecer el MIPG, integrando el análisis de riesgos en la planeación estratégica y en la definición de objetivos, metas y niveles de riesgo aceptables. • Realizar y fomentar autodiagnósticos permanentes, definiendo mecanismos y responsables para monitorear los resultados de la gestión de riesgos y usar esta información para orientar decisiones estratégicas y acciones de mejora

6.1.2 Comité Institucional De Coordinación De Control Interno

Este comité contribuye a la gestión de riesgos mediante funciones como: • Evaluar y fortalecer el Sistema de Control Interno, aprobando sus ajustes y mejoras. • Aprobar y hacer seguimiento al Plan Anual de Auditoría, garantizando que cubra los proyectos estratégicos y las áreas críticas según el análisis de riesgos realizado por Control Interno. • Resolver diferencias y conf lictos de interés que puedan afectar la independencia o el desarrollo de la auditoría interna. • Presentar para aprobación la política de administración del riesgo del representante legal y supervisar su aplicación, especialmente en lo relacionado con la prevención y detección del fraude y la mala conducta. • Verificar que las líneas de defensa funcionen adecuadamente, asegurando una gestión del riesgo integral y articulada en todos los niveles de la entidad.

6.2 Líneas De Defensa

del fraude y la mala conducta. • Verificar que las líneas de defensa funcionen adecuadamente, asegurando una gestión del riesgo integral y articulada en todos los niveles de la entidad.

6.2 Líneas De Defensa

El siguiente es el complemento de la actuación de las líneas de defensa restantes:DIRECCIONAMIENTO ESTRATÉGICO Política Institucional para la Gestión Integral de Riesgos

Página 11 de 80

Una vez se descargue o se imprima este documento, se considera copia no controlada

Código: DE-PO-001 Versión: 007

Tabla 1. Actividades de las líneas de defensa. Desde la 1a línea de defensa todos los servidores públicos tienen la responsabilidad frente a la identificación y valoración de riesgos, así como la aplicación efectiva de los controles, por lo que se trata de un seguimiento permanente, esto incluye la aplicación de controles de gere ncia operativa que corresponde a aquellos que son aplicados por servidor