Artículo 8.17.3

Principio 3: Gestión del riesgo: Con el propósito de lograr una adecuada medición y reporte de los riesgos inherentes a la actividad de autofinanciamiento comercial como son crédito, mercado, operacional y liquidez, así como asignar el deterioro (provisiones), el capital y la liquidez necesaria para cubrir estos riesgos, las SAPAC deben definir, desarrollar e implementar los siguientes lineamientos para cada riesgo inherente, de acuerdo al tamaño y la complejidad de las actividades desarrolladas, y en todo caso asegurar las evidencias formales y factuales8 demostrables ante el supervisor. Las SAPAC pueden usar como guía de referencia en la construcción de su marco de gestión de riesgos lo señalado en la Circular Externa 018 de 2021 de la Superintendencia Financiera de Colombia, y demás normas que la modifiquen, complementen, sustituyan o adicionen. El papel de la junta directiva es entender el riesgo de la organización, tomar decisiones basadas en este entendimiento y supervisar un marco que gestione el riesgo de forma continua. Para ello, la junta directiva debe aprobar el Marco de apetito de riesgo (MAR) de la sociedad, que se refiere al conjunto de políticas, metodologías, procedimientos, controles y límites a partir del cual las SAPAC establecen, comunican y monitorean el apetito de riesgo, entendido como la exposición al riesgo que están dispuestas a asumir dentro del normal desarrollo de su operación. El MAR incluye la declaración del apetito por el riesgo, los límites de riesgo y un esquema de roles y responsabilidades de los empleados o cargos que supervisan su implementación y monitoreo. El MAR debe considerar los riesgos tanto financieros como no financieros que enfrenta las SAPAC, así como los que afectan la reputación de la sociedad y a sus partes relacionadas (accionistas, empleados, proveedores, suscriptores, entre otros). Para su Resoluci�n Firma Digital 2025-01-149411 adecuado funcionamiento, el MAR debe estar alineado con el plan de negocios, el desarrollo de estrategias y los esquemas de planificación de capital. 8Evidencia formal: Análisis de la formalización e institucionalización de un determinado principio, normativa o estándar dentro de la organización, lo que soporta y hace exigible su cumplimiento. Evidencia factual: Análisis de la efectiva aplicación de un determinado principio, normativa o estándar en la administración cotidiana de la organización, con independencia de si están normados o no. Circular externa Dentro del proceso de gestión de riesgos, las SAPAC deben llevar a cabo las siguientes etapas en la gestión de sus riesgos inherentes: a. Identificación: consiste en determinar los riesgos inherentes a las actividades que desarrollan las SAPAC; b. Medición: se refiere a evaluar y/o cuantificar la exposición a los riesgos implícitos a la actividad y su potencial impacto, a partir de una aproximación cualitativa y cuantitativa a los mismos; c. Control: busca establecer los mecanismos tendientes a mitigar la posibilidad de ocurrencia y/o impacto de los riesgos, así como minimizar la posibilidad de ocurrencia y/o impacto de los mismos. Los controles que implementen las SAPAC le deben permitir conocer el grado de cumplimiento de sus políticas, procedimientos y límites, y el marco regulatorio, así como contar con información financiera y de gestión confiable, oportuna y completa; d. Evidencia formal: Verificación de la existencia, aprobación e institucionalización de políticas, manuales, procedimientos, lineamientos, metodologías, actas, asignación de responsabilidades y demás instrumentos que soporten la adopción y exigibilidad de un determinado principio, norma o estándar dentro de la organización. e. Evidencia factual: Verificación de la aplicación efectiva de un determinado principio, norma o estándar en la administración y operación cotidiana de la organización, mediante registros, reportes, soportes, trazabilidad, controles ejecutados y demás elementos verificables, con independencia de su formalización documental. f. Monitoreo: se relaciona con el seguimiento permanente y efectivo a las fuentes de riesgo, a los niveles de exposición, a la efectividad de los controles implementados y al posible impacto de la materialización de los riesgos. Las SAPAC deben, como mínimo, definir y adoptar políticas en relación con la gestión de riesgos, gobierno de riesgos, control y sistemas de información para gestionar los riesgos. Las políticas deben propender porque exista coherencia entre el plan de negocio, la estrategia y gestión de los riesgos, los niveles de capital y liquidez y el marco de gobierno corporativo, y deben estar soportadas e implementadas a través de procedimientos, metodologías, controles y/o límites apropiados para gestionar los riesgos. Los riesgos inherentes al autofinanciamiento comercial son: Resoluci�n Firma Digital 2025-01-149411 a. Riesgo de crédito: Es la posibilidad de que las SAPAC incurran en pérdidas y disminuyan el valor de sus activos como consecuencia de que una contraparte incumpla sus obligaciones. Para propósitos del riesgo de crédito, se entiende como contraparte al suscriptor en su calidad de deudor y sus codeudores, que resulten o puedan resultar directa o indirectamente obligados al pago de la deuda o cartera en un plan de autofinanciamiento comercial. Circular externa En consecuencia, deben contar con una adecuada gestión del riesgo de crédito que les permita tener una visión integral de todas las exposiciones al mismo. Este proceso debe incluir el ciclo de vida completo del suscriptor en su calidad de deudor, para lo cual deben existir políticas, procedimientos, límites, metodología de medición y sistemas de información correspondientes. b. Riesgo de mercado: Es la posibilidad de que las SAPAC incurran en pérdidas asociadas a la disminución del valor de sus activos o de los recursos de los suscriptores que se encuentran en patrimonios autónomos administrados por una sociedad fiduciaria, por lo que deben contar con una adecuada gestión del riesgo de mercado que les permita tener una visión integral del mismo en el desarrollo de su negocio, para lo cual deben existir las políticas, los procedimientos, los límites y metodologías de medición correspondientes. c. Riesgo operacional: Es la posibilidad de que las SAPAC incurran en pérdidas por las deficiencias, fallas o inadecuado funcionamiento de los procesos, la tecnología, la infraestructura o el recurso humano, así como por la ocurrencia de acontecimientos externos asociados a éstos. Este riesgo incluye el riesgo legal, el riesgo reputacional y el riesgo de ciberseguridad. En consecuencia, las SAPAC deben desarrollar, implementar y mantener una gestión del riesgo operacional acorde con su estructura, tamaño y actividades realizadas directamente o a través de terceros, de forma tal que les permita identificar, medir, controlar y monitorear eficazmente este riesgo. Para llevar a cabo dicha gestión deben existir las políticas, procedimientos, límites, metodologías, modelos y sistemas de información correspondientes. Las SAPAC pueden decidir si transfiere, mitiga, acepta o evita el riesgo operacional en los casos en que esto sea posible. La utilización de ciertas medidas, como la contratación de un seguro o tercerización (outsourcing), puede ser fuente generadora de otros riesgos operacionales, los cuales deben ser a su vez administrados por las SAPAC. De acuerdo con su estructura, tamaño y actividad, las SAPAC deben definir, implementar, probar y mantener un proceso para administrar la continuidad del negocio, el cual incluya elementos como: prevención y atención de emergencias, administración de la crisis, planes de contingencia y capacidad de retorno a la operación normal. Para tal efecto las SAPAC deben elaborar un plan de continuidad del negocio tomando como referencia la NTC 5722/ISO 22301. Resoluci�n Firma Digital 2025-01-149411 d. Riesgo de liquidez: Si bien el manejo de los recursos de las SAPAC está a cargo de sociedades fiduciarias mediante patrimonios autónomos, la sociedad puede enfrentar problemas de liquidez para atender sus obligaciones con terceros o eventualmente tener que responder con recursos propios a los suscriptores, con lo cual están expuestas a este riesgo. Circular externa El riesgo de liquidez se refiere a la posibilidad de que una SAPAC incurra en pérdidas asociadas a la contingencia de no poder cumplir plenamente, de manera oportuna y eficiente, los flujos de caja esperados e inesperados, vigentes y futuros, sin afectar el curso de las operaciones diarias o su condición financiera. Esta contingencia (riesgo de liquidez de fondeo) se manifiesta en la insuficiencia de activos líquidos por parte de las tesorerías de cada uno de los grupos que administra y/o en la necesidad de asumir costos inusuales de fondeo. A su turno, la capacidad de la SAPAC para generar o deshacer posiciones financieras a precios de mercado se ve limitada bien sea porque no existe la profundidad adecuada del mercado o porque se presentan cambios drásticos en las tasas y precios (riesgo de liquidez de mercado). Las SAPAC deben contar con una adecuada gestión del riesgo de liquidez que les permita identificar, medir, controlar y monitorear eficazmente el riesgo al que están expuestas en desarrollo de sus operaciones. Las SAPAC deben establecer la dimensión y naturaleza de su exposición e identificar las medidas prudenciales (colchones de liquidez, nivel de activos líquidos, coberturas, entre otros), así como las decisiones oportunas a adoptar para la adecuada mitigación del riesgo incorporando planes específicos para la diversificación y consecución de diferentes fuentes de fondeo. e. Las SAPAC deben dar cumplimiento a lo dispuesto por la Superintendencia de Sociedades para el autocontrol y gestión del riesgo integral de LA/FT/FPADM, incluyendo el deber de reporte de operaciones sospechosas a la UIAF. f. Pruebas de desempeño: Las pruebas de desempeño de los modelos de medición empleados por las SAPAC tienen como propósito determinar su consistencia y confiabilidad, asertividad de los indicadores estimados y límites contemplados. Estas pruebas consisten fundamentalmente en un proceso de revisión permanente por parte de las SAPAC sobre el modelo interno utilizado y de la validación de los supuestos, parámetros y juicios expertos que subyacen para el cálculo de los indicadores del modelo. Las pruebas de desempeño deben realizarse al menos una vez al mes. Los resultados de las pruebas y la metodología empleada por las SAPAC para su realización deben estar documentados, ser presentados al comité de riesgos y estar a disposición de la Superintendencia de Sociedades. g. Pruebas de resistencia: Las SAPAC deben realizar pruebas que le permitan evaluar su resistencia ante escenarios adversos en los que se afecte su liquidez, a partir de la identificación de los niveles de liquidez y los descalces Resoluci�n Firma Digital 2025-01-149411 en diferentes horizontes de tiempo, y la cuantificación de las exposiciones a futuras crisis de liquidez y el impacto sobre los flujos de caja de las SAPAC. Los modelos diseñados e implementados para el desarrollo de las pruebas deben corresponder con el tamaño, complejidad, perfil y apetito de riesgo de cada SAPAC, contar con una solidez estadística adecuada de modo que se puedan utilizar como un insumo en la toma de decisiones sobre la gestión Circular externa de riesgos y en el desarrollo del plan de contingencia. La frecuencia de las pruebas de resistencia, su revisión y actualización debe realizarse como mínimo trimestralmente. Las SAPAC deben estar en capacidad de aumentar la periodicidad de las pruebas bajo escenarios especiales por cambios en las condiciones del mercado, o eventos de crisis. h. Los supuestos, parámetros, análisis, medición y resultados de estas pruebas deben encontrarse documentados, ser presentados al comité de riesgos y estar a disposición de la Superintendencia de Sociedades.