URF - Política de Riesgos V8 de 2026

Politica Administracion del riesgo q’.\ Unidad de Proyeccién Normativa y Estudios de Regulacién FinancieraPolitica Administracién del riesgo Urgdai_de Srogecci‘én_r\'lo?jativa Cédigo: Versién: Fecha: y Estudios de Regulacién Financiera DP-PL-001 8.0 2026-04-20 URF Contenido Declaracion de 1a PolitiCa ..........oeeuureiuiieiii e e e Objetivos Objetivo general Objetivos especificos Ambito de aplicacion .... Términos y definiciones Roles y responsabilidades Metodologia para la administracion del riesgo. Contexto estratégico .. Etapa de identificacion Nombre del riesgo Descripcion del riesgo. Aspectos y orientaciones para la descripcion de los riesgos fiscales Responsables del riesgo identificado Factores generadores de riesgo Clasificacion de las causas Consecuencias ............... Asociacion estratégica, organizacional y por proceso . . Incidencia juridica del riesgo . .11. Fuentes de identificacion del riesgo .12. Tipos de riesgo .13. Productos y/o servicios que pueden afectarse con la materlallzaC|on del riesgo .14. Recursos necesarios para la gestion del riesgo .15. Incidencia directa en el usuario externo. .16. Aspectos validadores de los riesgos para la integridad publica. Etapa de anélisis .........

1. Clasificaciéon del riesgo . .2. Evaluacién del riesgo....

Etapa de valoracion de riesgos. Descripcion cualitativa de controles Evaluar los controles.............. Etapa de manejo de los riesgos

1. Determinacion de la opciéon de manejo

.2. Evaluacién del riesgo.... Etapa de valoracion de riesgos. Descripcion cualitativa de controles Evaluar los controles.............. Etapa de manejo de los riesgos

1. Determinacion de la opciéon de manejo

2. Definicion de acciones de contingencia .3. Apetito del riesgo ........ccocevvenuiennns

4 5 Definicion del seméforo del riesgo . Acciones para el manejo de los riesgos Etapa de monitoreo de los riesgos Creacién, modificacién o eliminacion de riesgos... Mapa de riesgosPolitica Administracién del riesgo Unidad de Proyeccién Normativa Cédigo: Versién: Fecha: y Estudios de Regulacién Financiera 9 “URF

7. Alineacion con los valores del manual de integridad y buen gobierno

8. Comunicacién

9. Mecanismo de monitoreo, control y evaluacién .

10. Documento referente .

11. Datos de elaboracién y control de cambios.

12. Anexo 5. Riesgos de seguridad de la informacion digital .....................

Por responsabilidad ambiental no imprima este documento - Las copias impresas o guardadas fuera del SMGI, se consideran “Copias no Controladas’; la versién vigente esté disponible en el mdulo de documentos del SMGI. Cédigo DP-FT-009_V5, Documento referente: Manual de produccion y administracion de documentos del SGI DP-PL-001 8.0 2026-04-20Politica Administracién del riesgo Urgdai_de Srogecci‘én_r\'lo?jativa Cédigo: Versién: Fecha: y Estudios de Regulacién Financiera DP-PL-001 8.0 2026-04-20 URF Tabla de ilustraciones Ilustracion 1. Ubicacion de videotutoriales en el SMGI

Tabla de ilustraciones Ilustracion 1. Ubicacion de videotutoriales en el SMGI Ilustracion 2. Aspectos importantes sobre el alcance de la politica. . Ilustracion 3. Roles y responsabilidades frente a la administracion del riesgo ... 15 Ilustracion 4. Etapas para la administracion del ri€sgo ............cooeeueiveeuieeennnens 21 Ilustracion 5. Aspectos importantes sobre el desarrollo conceptual y metodoldgico - Operacion de la politica Ilustracion 6. Resultados del Contexto Estratégico .. Ilustracion 7. Orientaciones para validar la adecuada definicion del nombre del LT L« T TP Ilustracion 8. Descripcion de los riesgos de tipo fiscal Ilustracion 9. Escala de calificacion para la probabilidad .. Ilustracion 10. Escala de calificacion para el impacto.. Ilustracion 11. Impacto inherente del riesgo fiscal Ilustracion 12. Matriz de evaluacion del riesgo Ilustracion 13. Zonas de riesgo ................. Ilustracion 14. Resultados de la etapa de analisis . Ilustracion 15. Ilustracion 16. Aspectos importantes en la identificacion de controles . Ilustracion 17. Clases de controles Ilustracion 18. Escala afectada segun el tipo de control Ilustracion 19. Célculo para la evaluacién del riesgo residual . Ilustracion 20. Resultados de la etapa de valoracion .. Ilustracion 21. Conceptos relacionados con el apetito del riego Ilustracion 22. Resultados de la etapa de manejo Ilustracion 23. Roles para el monitoreo y evaluacion de los riesgos Ilustracion 24. Resultados de la etapa de monitoreo Ilustracion 25. Aval de solicitudes de creacion, modificacion o ellmlnacmn de

Ilustracion 23. Roles para el monitoreo y evaluacion de los riesgos Ilustracion 24. Resultados de la etapa de monitoreo Ilustracion 25. Aval de solicitudes de creacion, modificacion o ellmlnacmn de LI L=E=T T L= PP 59Politica Administracién del riesgo Ugidad'de Srogeccilo'n .".‘°’Fff‘a‘i"€ Cédigo: Versién: Fecha: y Estudios de Regulacion Financiera DP-PL-001 8.0 2026-04-20 “URF Anexos Los siguientes anexos se encuentran disponibles en video tutoriales que se pueden consultar por el enlace asociado o mediante la opcién de tutoriales disponible en la pagina principal del SMGI. Sitoma da Contrlotarn-SC1 saa s Ilustracién 1. Ubicacién de videotutoriales en el SMGI . Anexo 1. Instrucciones para diligenciar las etapas de gestién del riesgo en el Sistema de Monitoreo de la Gestion Institucional - SMGI. . Anexo 2. Instrucciones para diligenciar el reporte del monitoreo en el Sistema de Monitoreo de la Gestién Institucional - SMGI. . Anexo 3. Instrucciones para el reporte de materializacion de riesgos en el Sistema de Monitoreo de la Gestién Institucional - SMGI. . Anexo 4. Instrucciones para solicitar la devolucién de una etapa del riesgo en el Sistema de Monitoreo de la Gestién Institucional - SMGI.

el Sistema de Monitoreo de la Gestién Institucional - SMGI. . Anexo 4. Instrucciones para solicitar la devolucién de una etapa del riesgo en el Sistema de Monitoreo de la Gestién Institucional - SMGI. Por responsabilidad ambiental no imprima este documento - Las copias impresas o guardadas fuera del SMGI, se consideran “Copias no Controladas’; la versién vigente esté disponible en el mdulo de documentos del SMGI. Cédigo DP-FT-009_V5, Documento referente: Manual de produccion y administracion de documentos del SGIPolitica Administracién del riesgo UrEfldai_de zrogeccilén_Nor}tmativg Cédigo: Versién: Fecha: y Estudios de Regulacién Financiera DP-PL-001 8.0 2026-04-20 “URF La presente version de la politica de administracion del riesgo de la Unidad de Proyeccion Normativa y Estudios de Regulacién Financiera - URF, fue puesta en consideracion del Comité Institucional de Coordinacién de Control Interno, en la sesion del 20 de abril de 2026, de acuerdo con lo establecido en el literal g) del articulo 2.2.21.1.6 del Decreto 648 de 2017 y del articulo cuarto de la Resolucion No. 016 de 2021; surtido este paso y con el aval del Comité, fue aprobada por la Representante Legal de la Unidad, Diana Larisa Caruso Lopez, Directora General encargada de la URF.

cuarto de la Resolucion No. 016 de 2021; surtido este paso y con el aval del Comité, fue aprobada por la Representante Legal de la Unidad, Diana Larisa Caruso Lopez, Directora General encargada de la URF. Por responsabilidad ambiental no imprima este documento - Las copias impresas o guardadas fuera del SMGI, se consideran “Copias no Controladas’; la versién vigente esté disponible en el mdulo de documentos del SMGI. Cédigo DP-FT-009_V5, Documento referente: Manual de produccion y administracion de documentos del SGIPolitica Administracién del riesgo Urgdai_de Srogecci‘én_r\'lo?jativa Cédigo: Versién: Fecha: y Estudios de Regulacién Financiera DP-PL-001 8.0 2026-04-20 “URF

1. Declaracién de la politica Mediante la expedicion del Decreto 1499 de 2017, se establecié el Sistema de Gestidn y su marco operativo de referencia; el Modelo Integrado de Planeacion y Gestion. En este modelo, uno de los elementos transversales es la administracion del riesgo, el cual define un método légico y sistematico para establecer el contexto, identificar, analizar, evaluar, tratar, monitorear y comunicar los riesgos asociados con una actividad, funciéon o proceso, de tal forma que permita a las Unidades minimizar pérdidas y maximizar oportunidades.

La UAE - Unidad de Proyeccién Normativa y Estudios de Regulacién FinancieraURF, entendiendo la importancia de una adecuada gestion de los eventos que tendran impactos sobre los objetivos institucionales, se ha comprometido con la implementaciéon de los procesos para el adecuado tratamiento, manejo, y seguimiento a los riesgos, buscando fortalecer la gestion institucional.

tendran impactos sobre los objetivos institucionales, se ha comprometido con la implementaciéon de los procesos para el adecuado tratamiento, manejo, y seguimiento a los riesgos, buscando fortalecer la gestion institucional. De acuerdo con lo anterior, la politica que se desarrolla en este documento establece los elementos para realizar una adecuada administracion de riesgos, favoreciendo la mejora continua y la toma de decisiones.

2. Objetivos 2.1. Objetivo general Establecer los lineamientos estratégicos y operativos que orienten la identificacion, anaélisis, valoracién, manejo, monitoreo y comunicacion de los riesgos en la Unidad de Proyeccion Normativa y Estudios de Regulacion Financiera - URF, mediante la definicion y aplicacion de parémetros de referencia conceptuales y metodolégicos coherentes con el Modelo Integrado de Planeacion y Gestion (MIPG) y las mejores précticas internacionales de gestion del riesgo, incluyendo el marco COSO-ERM, con el fin de fortalecer la toma de decisiones informadas, anticipar eventos que puedan afectar el cumplimiento del objeto institucional y asegurar una gestion publica integra, eficiente, transparente y orientada a resultados.

Asimismo, esta politica busca promover una cultura organizacional basada en la integridad, la prevenciéon y la responsabilidad, fortalecer la gobernanza institucional y contribuir a la generacion de valor publico y a la confianza ciudadana mediante una gestion proactiva y sistematica de los riesgos que puedan afectar la mision de la entidad.Politica Administracién del riesgo

institucional y contribuir a la generacion de valor publico y a la confianza ciudadana mediante una gestion proactiva y sistematica de los riesgos que puedan afectar la mision de la entidad.Politica Administracién del riesgo UrEfldai_de Srogecci‘én_r\'lor}tn_wativav Cédigo: Versién: Fecha: y Estudios de Regulacién Financiera DP-PL-001 8.0 2026-04-20 “URF 2.2. Objetivos especificos . Establecer la metodologia que permita la adecuada administraciéon de riesgos en la URF. . Establecer roles y responsabilidades frente a la administracion del riesgo que comprometan a todos los servidores de la Unidad, con su adecuado tratamiento y prevencion. . Establecer, a partir de la administracion de riesgos, una base confiable para la toma de decisiones en la gestion institucional. . Socializar en todos los niveles de la Unidad de Proyecciéon Normativa y Estudios de Regulacién Financiera — URF, la politica de administracion del riesgo y concientizar sobre la necesidad e importancia de gestionar de manera adecuada, los riesgos inherentes a la gestion institucional.

3. Ambito de aplicacién La Politica de Administracion del Riesgo aplica a todos los procesos, procedimientos y actividades que desarrolla la Unidad para el cumplimiento de su misién y de los objetivos institucionales. Su implementaciéon es obligatoria para todos los servidores, contratistas y equipos de trabajo; quienes deberan incorporar sus lineamientos en la planeacién, ejecucién, seguimiento y mejora de la gestion.

Asimismo, la politica establece la metodologia institucional para la identificacion, anaélisis, valoracion, tratamiento, monitoreo y comunicacion de los siguientes tipos

lineamientos en la planeacién, ejecucién, seguimiento y mejora de la gestion. Asimismo, la politica establece la metodologia institucional para la identificacion, anaélisis, valoracion, tratamiento, monitoreo y comunicacion de los siguientes tipos de riesgo: « Riesgo estratégico « Riesgos generales de la gestion « Riesgos para la integridad publica Riesgo fiscal « Riesgos de seguridad de la informacion digital Riesgos ambientales Riesgos de seguridad y salud en el trabajo del SMGI, se entos del SMGI. 7 entos del SGI jad ambiental no imprima este documento - Las copias impresas o guardadas f opias no Controladas”; la versién vigente esté disponible en el médulo de do j0 DP-FT-009_V5, Documento referente: Manual de pr racion de do“URF I Origen de identificacién y tratamiento La identificacién y gestién de los riesgos, independiente del tipo|La metodologia definida en esta al que correspondan, siempre se poltica es a base para Ia gestion . realizara desde el modelo de de cualquier otro tipo de riesgo horg, cfectos de ja_metodologia r3 X riesgo jncfitucional, | los . riesgos operacion por procesos que la URF requiera gestionar; [ l0GOMT | (o8, | DER002 institucional. . en ocaso de existit aa ciacricarin eome. Peages Politica Administracién del riesgo UrE\idadvde zrogeccilo'n .’T‘°’Fff‘a‘i"? Cédigo: Versién: Fecha: y Estudios de Regulacién Financiera DP-PL-001 8.0 2026-04-20 mportante... Definicién metodoldgica por tipos de riesgo Riesgos para la integridad plblica

mportante... Definicién metodoldgica por tipos de riesgo Riesgos para la integridad plblica pamculagdades" metodolégicas, ncritucionales, junto con e cumentas exes a “9m2 aguelios que tengan incidencia (ol directa en el usuario externo, los politica. de cardcter estratégico o aquellos cuya evaluacién residual se ubique en zona alta o extrema. Ilustracién 2. Aspectos importantes sobre el alcance de la politica 4.Términos y definiciones Para la implementacion y operacién de la politica de administracion del riesgo de la URF, se tendran en cuenta los siguientes términos y definiciones: Acciones asociadas: son las que se deben tomar posterior a determinar las opciones de manejo del riesgo (asumir, reducir, evitar, compartir), en la etapa de manejo, estan orientadas a fortalecer los controles identificados. Es requisito formular acciones cuando se han identificado fallas en los controles después de realizar su calificacion en la etapa de valoracion.

Administracion de riesgos: conjunto de etapas secuenciales que se deben desarrollar para el adecuado tratamiento de los riesgos.

Amenaza: situacion externa que no controla la Unidad y que puede afectar su operacion.

Analisis del riesgo: etapa de administracién de los riesgos donde se establece la probabilidad de ocurrencia y el impacto del riesgo, antes de determinar los controles (andlisis del riesgo inherente), y posterior a la definicion de controles para prevenir la ocurrencia del riesgo (analisis del riesgo residual).

establece la probabilidad de ocurrencia y el impacto del riesgo, antes de determinar los controles (andlisis del riesgo inherente), y posterior a la definicion de controles para prevenir la ocurrencia del riesgo (analisis del riesgo residual). Por responsabilidad ambiental no imprima este documento - Las copias impresas o guardadas fuera del SMGI, se consideran “Copias no Controladas’; la versién vigente esté disponible en el mdulo de documentos del SMGI. Cédigo DP-FT-009_V5, Documento referente: Manual de produccion y administracion de documentos del SGIPolitica Administracién del riesgo UrEudai_de zrogecci‘én_r\'lo?jativa Cédigo: Versién: Fecha: y Estudios de Regulacién Financiera DP-PL-001 8.0 2026-04-20 URF « Asumir el riesgo: opcion de manejo donde se acepta la pérdida residual probable, si el riesgo se materializa. « Calificacién del riesgo: estimacion de la probabilidad de ocurrencia del riesgo y el impacto que puede causar su materializacion. + Causa: medios, circunstancias y/o agentes que generan riesgos. + Causa Inmediata: Circunstancias bajo las cuales se presenta el riesgo, pero no constituyen la causa principal o base para que se presente el riesgo. Tratédndose de riesgo fiscal, se usa el término circunstancia inmediata (Causa Inmediata, pero se asocia a la misma causa inmediata). « Causa Raiz: Causa principal o basica, corresponde a las razones por la cuales se puede presentar el riesgo. + Compartir el riesgo: opcién de manejo que determina traspasar o compartir las pérdidas producto de la materializacion de un riesgo con otras

cuales se puede presentar el riesgo. + Compartir el riesgo: opcién de manejo que determina traspasar o compartir las pérdidas producto de la materializacion de un riesgo con otras organizaciones mediante figuras como outsorcing, seguros, sitios alternos. Los riesgos para la integridad publica se pueden compartir, pero no se puede transferir su responsabilidad. « Conflicto de interés: Se presenta cuando el interés general, propio de la funcién publica, entra en conflicto con un interés particular y directo del servidor publico. El interés del servidor publico se presenta cuando debe decidir sobre asuntos en los que tiene un interés particular y directo en su regulacion, gestion, control o decision, o lo tiene su cényuge, compariero o compafiera permanente, o algunos de sus parientes dentro del cuarto grado de consanguinidad, segundo de afinidad o primero civil, o su socio o socios de hecho o de derecho. (A partir de la Ley 1952 de 2019, art. 44, Ley 734 de 2002 y algunas disposiciones de la Ley 1474 de 2011) Consecuencia: son los efectos o situaciones resultantes de la materializacion del riesgo que impactan en el proceso, la Unidad, sus grupos de valor y demas partes interesadas. Tratandose de riesgo fiscal, el impacto siempre serd econémico y se identificard en la redaccidon de riesgos como efecto dafioso, sobre bienes publicos, recursos publicos o intereses patrimoniales publicos. « Control: accién o conjunto de acciones que minimiza la probabilidad de ocurrencia y/o el impacto del riesgo.Politica Administracién del riesgo

efecto dafioso, sobre bienes publicos, recursos publicos o intereses patrimoniales publicos. « Control: accién o conjunto de acciones que minimiza la probabilidad de ocurrencia y/o el impacto del riesgo.Politica Administracién del riesgo Unidad de Proyeccién Normativa Cédigo: Versién: Fecha: y Estudios de Regulacién Financiera 9 DP-PL-001 8.0 2026-04-20 URF « Control correctivo: control accionado en la salida del proceso y después de que se materializa el riesgo; estos controles tienen costos implicitos. « Control detectivo: control accionado durante la ejecucion del proceso; estos controles detectan el riesgo, pero generan reprocesos. + Control preventivo: control accionado en la entrada del proceso y antes de que se realice la actividad originadora del riesgo, se busca establecer las condiciones que aseguren el resultado final esperado. + Contingencia: acciones inmediatas identificadas para hacer frente a la materializacion del riesgo. « Corrupcién: uso del poder para desviar la gestion de lo publico hacia el beneficio privado. « Debilidad: situacion interna que la Unidad puede controlar y que puede afectar su operacion. « Evaluacién del riesgo: resultado del cruce cuantitativo de la calificacion de impacto y probabilidad, para establecer la zona donde se ubicaré el riesgo. « Evitar el riesgo: opciéon de manejo donde se deben determinar acciones para continuar disminuyendo tanto probabilidad como el impacto, mediante el fortalecimiento de controles, optimizacion de procesos y el disefio de nuevos controles. + Fraude: errores, omisiones, informes inexactos o descripciones incorrectas realizados con culpa o dolo para beneficio personal o de terceros. Puede ser

el fortalecimiento de controles, optimizacion de procesos y el disefio de nuevos controles. + Fraude: errores, omisiones, informes inexactos o descripciones incorrectas realizados con culpa o dolo para beneficio personal o de terceros. Puede ser interno, en cuyo caso el fraude involucra a colaboradores, o externo, cuando se realiza por terceros, externos y la organizacion es la victima. (A partir de 1S037001:2025) + Frecuencia: ocurrencia de un evento expresado como la cantidad de veces que ha ocurrido un evento en un tiempo dado. + Gestion del riesgo: proceso efectuado por la alta direccién y por todos los servidores publicos y contratistas para proporcionar un aseguramiento razonable con respecto al logro de los objetivos.Politica Administracién del riesgo UrEudai_de zrogecci‘énv!\'lo?_wativa Cédigo: Versién: Fecha: y Estudios de Regulacién Financiera DP-PL-001 8.0 2026-04-20 URF + Gestor Fiscal: Son los servidores publicos y las personas de derecho privado que administran o manejan recursos o fondos publicos, desarrollando actividades econdmicas, juridicas o tecnolégicas orientadas a la adecuada y correcta adquisicion, planeacién, conservacion, administracion, custodia, explotacion, enajenacién, consumo, adjudicacion, gasto, inversion y disposicion de los bienes publicos. Asimismo, comprende a quienes realizan la recaudacion, manejo e inversion de las rentas publicas, en cumplimiento de los fines esenciales del Estado (articulo 3 de la Ley 610 de 2000 o la norma que la modifique o sustituya). Ejemplo: entre otros, representante legal, ordenador del gasto, autorizado para contratar,

en cumplimiento de los fines esenciales del Estado (articulo 3 de la Ley 610 de 2000 o la norma que la modifique o sustituya). Ejemplo: entre otros, representante legal, ordenador del gasto, autorizado para contratar, pagador, tesorero, almacenista. « Identificacién del riesgo: etapa de administraciéon del riesgo donde se definen los riesgos con sus causas, agentes generadores asociados a las causas, consecuencias, definicion de productos y/o servicios que pueden afectarse con la materializacion del riesgo, situaciones de defio antijuridico y clasificacion. + Impacto: medida para estimar cuantitativa y cualitativamente el posible efecto de la materializacion del riesgo. + Mapa de riesgos: organizacion sistematica que muestra el desarrollo de las etapas de la administracion del riesgo. + Materializacion del riesgo: ocurrencia del riesgo identificado; cuando un riesgo se materializa, se debe registrar el reporte de materializacion en el SMGI. En los casos de materializacion de los riesgos para la integridad publica, se debe notificar a las autoridades competentes sobre los hechos presentados. Monitorear: observar, analizar, verificar y evaluar los riesgos identificados, determinando el adecuado desarrollo de cada una de las etapas de administracion y el nivel de cumplimiento y efectividad de los controles y acciones definidas. + Observaciones o desviaciones del control: acciones que deben tomarse, una vez se aplica el control y se evidencia algun incumplimiento en el proceso controlado; la actividad no deberia continuarse hasta que se subsane la situacion; si es un control que detecta una posible materializacion de un riesgo, deberian gestionarse de manera oportuna los correctivos o aclaraciones a las diferencias presentadas u observaciones. Ej.

proceso controlado; la actividad no deberia continuarse hasta que se subsane la situacion; si es un control que detecta una posible materializacion de un riesgo, deberian gestionarse de manera oportuna los correctivos o aclaraciones a las diferencias presentadas u observaciones. Ej. El sistema SAP, cada vez que se va realizar un pago, valida que el proveedor Codigo DP-FPolitica Administracién del riesgo Unidad de Proyeccién Normativa Cédigo: Versién: Fecha: y Estudios de Regulacién Financiera 9 DP-PL-001 8.0 2026-04-20 URF al cual se le va girar el pago, no estd reportado en listas restrictivas, comparando el nimero de identificacién tributaria (NIT) o cédula, con la informacion cargada en el aplicativo de las listas de clientes reportados en temas de lavado de activos y financiacion del terrorismo. En caso de encontrar coincidencias, el sistema no permite realizar el pago. + Opciones de manejo: posibilidades disponibles para administrar el riesgo posterior a la valoracion de los controles definidos (asumir, reducir, evitar o compartir el riesgo residual). + Politica de administracion del riesgo: conjunto de lineamientos, directrices definidas y adoptadas para la gestion del riesgo en la Unidad. La politica es la declaracion de la direccion y las intenciones generales de una organizacién con respecto a la gestion del riesgo. La gestion o administracion del riesgo establece lineamientos precisos acerca del tratamiento, manejo y seguimiento a los riesgos. « Probabilidad: se entiende la posibilidad de ocurrencia del riesgo. Estara asociada a la exposicion al riesgo del proceso o actividad que se esté analizando. La probabilidad inherente sera el nimero de veces que se pasa

« Probabilidad: se entiende la posibilidad de ocurrencia del riesgo. Estara asociada a la exposicion al riesgo del proceso o actividad que se esté analizando. La probabilidad inherente sera el nimero de veces que se pasa por el punto de riesgo en el periodo de 1 afio. Proceso: conjunto de operaciones secuenciales que realiza permanentemente la Unidad para generar productos/servicios a sus usuarios internos y externos a partir de unos insumos determinados. Producto y/o servicio: cualquier bien material o servicio final que se genera con la operacidon de un proceso institucional, orientado a satisfacer la necesidad de un grupo de valor interno o externo. + Punto de Riesgo: Actividades en las que potencialmente se genera riesgo. Traténdose de riesgo fiscal los puntos de riesgo son todas las actividades que representen gestion fiscal, por ejemplo, aquellas de administracion, gestiéon, ordenacién, ejecuciéon, manejo, adquisicion, planeacion, conservacion, custodia, explotacién, enajenacién, consumo, adjudicacion, gasto, inversidn y disposicion de los bienes o recursos publicos o intereses de naturaleza publica. + Recurso publico: Para efectos de los riesgos fiscales, se entenderd como recurso publico los dineros comprometidos y ejecutados en el ejercicio de la funcién publica. Codigo DP-FPolitica Administracién del riesgo UrEudai_de zrogecci‘én_r\'lo?jativa Cédigo: Versién: Fecha: y Estudios de Regulacién Financiera DP-PL-001 8.0 2026-04-20 URF + Reducir el riesgo: opcién de manejo que determina la formulacion de acciones donde se prevenga la materializacion del riesgo mediante el fortalecimiento de controles identificados.

+ Reducir el riesgo: opcién de manejo que determina la formulacion de acciones donde se prevenga la materializacion del riesgo mediante el fortalecimiento de controles identificados. « Riesgo: evento que tendrd un impacto sobre los objetivos institucionales o del proceso. Se expresa en términos de probabilidad y consecuencias. + Riesgo de gestion: posibilidad de que suceda algun evento que tendra un impacto sobre el cumplimiento de los objetivos de los procesos o sobre su operacion. + Riesgo inherente: es aquel al que se enfrenta una Unidad o proceso en ausencia de controles y/o acciones para modificar su probabilidad o impacto. + Riesgo institucional: son los riesgos que afectan de manera directa el cumplimiento de los objetivos o la misién institucional. Los riesgos institucionales, son producto del andlisis de los riesgos por proceso y son denominados de este tipo cuando cumplen alguna de las siguientes caracteristicas: - Los clasificados con tipo estratégico. - Los riesgos que después de la evaluacion residual se ubican en zona alta o extrema. - Los riesgos que tengan incidencia directa en el usuario o destinatario final externo. - Los riesgos para la integridad publica. + Riesgo para la integridad: Toda actuacion o decision de las y los servidores publicos, asi como de otros colaboradores de la Unidad que privilegien el interés particular sobre el general, asociadas a conductas no deseadas que van en contravia de los valores del servicio publico. Incluido, también, el riesgo de que la integridad de la entidad sea utilizada para dar apariencia de legalidad a los activos provenientes de actividades delictivas o para canalizar recursos hacia la realizacion de actividades terroristas. + Riesgo residual: nivel de riesgo que permanece luego de determinar

apariencia de legalidad a los activos provenientes de actividades delictivas o para canalizar recursos hacia la realizacion de actividades terroristas. + Riesgo residual: nivel de riesgo que permanece luego de determinar controles para su administracion. + Sistema de Gestion de Riesgos para la Integridad Pablica -SIGRIP: esquema que define la interrelacion e interaccion de diferentes elementos para asegurar una gestion integral de los riesgos que afectan la integridad Codigo DP-FPolitica Administracién del riesgo UrEfldai_de Srogecci‘én_r\'lor}tn_wativav Cédigo: Versién: Fecha: y Estudios de Regulacién Financiera DP-PL-001 8.0 2026-04-20 URF publica. El SIGRIP se articula con la Politica para la Gestion Integral de Riesgos. « SMGI: Sistema de Monitoreo de la Gestion Institucional - SMGI; Herramienta oficial para la documentacién y administraciéon de los riesgos mediante el mddulo de “Gestion del riesgo”. + Soborno: ofrecer, prometer, dar, aceptar o solicitar una ventaja indebida de cualquier valor (que puede ser financiero o no financiero), directa o indirectamente, e independientemente de la ubicacion, en violacion de la ley aplicable, como incentivo o recompensa para que una persona actie o se abstenga de actuar. (A partir de ISO37001:2025) + Soborno entrante: ofrecer, prometer, dar, aceptar o solicitar una ventaja indebida a un servidor de la Unidad. + Soborno saliente: ofrecer, prometer, dar, aceptar o solicitar una ventaja indebida por parte de servidores publicos a otros en nombre de la Unidad. + Valoracién del riesgo: establece la identificacion y evaluacion de los

+ Soborno saliente: ofrecer, prometer, dar, aceptar o solicitar una ventaja indebida por parte de servidores publicos a otros en nombre de la Unidad. + Valoracién del riesgo: establece la identificacion y evaluacion de los controles para prevenir