Artículo 8.17.2

Principio 2: Gobernanza y apetito de riesgo: La junta directiva es responsable de la gobernanza, la gestión y la dirección estratégica de las SAPAC, salvo en materias reservadas legalmente a la Asamblea General de Accionistas. Como resultado, la junta directiva tiene la máxima responsabilidad por las actividades y desempeño de la sociedad. Para lograr una buena gobernanza en la sociedad deben estar bien definidos, documentados y entendidos los siguientes temas en torno a este órgano de dirección: a. Funciones y competencias b. Reglamento de funcionamiento; c. Conformación; Resoluci�n Firma Digital 2025-01-149411 d. Nombramiento y reelección de los miembros; e. Desvinculación de los miembros; f. Retribución de los miembros; g. Evaluación periódica; h. Deberes y derechos de los miembros; i. Reuniones; j. Política de delegación de facultades y, Circular externa k. Comités de apoyo. La junta directiva debe adoptar un papel activo en la definición del apetito de riesgo y garantizar que el mismo esté en línea con el plan de negocio, niveles de capital, indicador de solidez, y situación financiera de las SAPAC, teniendo en cuenta la evolución de las condiciones macroeconómicas y del entorno. Para una adecuada gestión, las SAPAC deben establecer el apetito de riesgo, es decir, el(los) nivel(es) y tipos de riesgos que la sociedad está dispuesta a asumir de acuerdo con su tolerancia al riesgo, plan de negocio y fortaleza financiera. En este sentido, las SAPAC deben hacer la declaración de apetito de riesgo aprobada por la junta directiva, la cual debe contener un resumen claro y comprensivo de los riesgos y niveles de riesgo que está dispuesta a asumir para llevar a cabo su plan de negocio. De esta forma, la declaración de apetito de riesgo es un informe escrito en donde el gobierno de la sociedad comunica los diferentes tipos de riesgo que las SAPAC están dispuestas a aceptar, asumir o evitar para lograr sus objetivos. Este informe incluye declaraciones cualitativas y cuantitativas formuladas respecto a ganancias, capital, medidas de riesgo, liquidez y otras medidas relevantes según sea necesario (activos, cartera, inversiones, entre otros). También debe informar sobre los riesgos que son más difíciles de cuantificar, tales como los estratégicos, el reputacional y el comportamental, así como los de lavado de activos, financiación del terrorismo, proliferación de armas de destrucción masiva, corrupción, entre otros. La junta directiva debe comprometerse activamente en la gestión adecuada de los riesgos de las SAPAC y en establecer una estructura organizacional que facilite su desarrollo, de forma tal que los diferentes organismos de dirección, administración, control y fiscalización puedan llevar a cabo sus responsabilidades de manera coordinada y que facilite la toma de decisiones. Para ello la sociedad debe contemplar como mínimo las siguientes funciones y responsabilidades: a. El representante legal debe, bajo la dirección y supervisión de la junta directiva, dirigir, ejecutar y supervisar el diseño, implementación y cumplimiento del sistema de gestión de riesgo de la sociedad, de tal manera que sea consistente con el apetito y tolerancia al riesgo de las SAPAC, así como con el plan de negocio y las condiciones del entorno económico y del mercado. Para lo anterior debe contar con reportes y mecanismos de seguimiento que sean eficaces y pertinentes, y atender de manera oportuna las recomendaciones y requerimientos en materia de gestión de riesgos realizados por los miembros de la alta gerencia, la unidad de administración de riesgos y los órganos de control y fiscalización. b. Las SAPAC deben contar con una unidad o área de administración de riesgos Resoluci�n Firma Digital 2025-01-149411 que sea funcional y organizacionalmente independiente de las áreas de negocio o generadoras de utilidades. Esta unidad o área debe tener acceso directo a la junta directiva, al comité de riesgos, al representante legal y las líneas de negocio que generan o pueden generar riesgos, así como a los registros, información y personal de las SAPAC. Adicionalmente debe contar con las competencias necesarias, nivel jerárquico, poder de decisión y recursos suficientes para cumplir con sus funciones y responsabilidades, así Circular externa como con la autoridad para hacer seguimiento a las medidas tomadas por la administración, en respuesta a los problemas identificados y a las recomendaciones efectuadas. c. Las SAPAC deben contar con un comité de riesgos, que debe sesionar de manera ordinaria por lo menos una vez dentro del mes calendario, conformado por un número impar de miembros, como mínimo 3, que acrediten conocimiento y experiencia en la administración y gestión de riesgos, los cuales deben ser designados por la junta directiva, quien a su vez debe adoptar el reglamento para su funcionamiento. En el comité se deben discutir las estrategias de riesgo de forma agregada y por tipo de riesgo, la gestión de capital y liquidez, y realizar recomendaciones al representante legal y la junta directiva. Para este propósito el comité debe generar un reporte regular de los riesgos, del perfil de riesgos y su correspondencia con el apetito de riesgo, estado de la cultura de riesgos y la adecuada implementación del apetito de riesgo, planes de mitigación y cumplimiento de los límites de riesgo. d. Las SAPAC deben contar con una unidad o área de auditoría interna que tenga autonomía y autoridad suficiente para llevar a cabo una supervisión independiente de las áreas que audita en relación con la calidad y efectividad de la administración de riesgos y para desarrollar sus actividades. Así mismo debe tener acceso directo a los representantes legales, a la junta directiva, al comité de riesgos, al comité de auditoría y a los registros, información y personal de la SAPAC. Adicionalmente, la supervisión realizada por la auditoría interna es un proceso dinámico que debe: (i) estar focalizado en los riesgos más importantes o relevantes que enfrenta la SAPAC y (ii) contar con un proceso de planeación anual que identifique claramente los objetivos y alcance de su trabajo. e. El revisor fiscal de las SAPAC debe pronunciarse sobre la gestión de riesgos, la gestión de los auditores internos y el seguimiento a las recomendaciones y acciones de la administración. Adicionalmente, en desarrollo de lo dispuesto en el artículo 209 del Código de Comercio, el revisor fiscal debe informar de manera oportuna y permanente a la asamblea de accionistas, a la junta directiva y a la Superintendencia de Sociedades, las irregularidades materiales que advierta en el cumplimiento de sus tareas. Dicho reporte debe estar debidamente documentado y debe señalar cuales fueron las pruebas aplicadas, los resultados alcanzados, las acciones seguidas y la respuesta de la SAPAC frente a sus observaciones, así como las correcciones llevadas a cabo por la sociedad. f. Las SAPAC deben contar con los sistemas y el soporte tecnológico Resoluci�n Firma Digital 2025-01-149411 necesarios para garantizar el funcionamiento eficiente, eficaz y oportuno de sus procesos, gestión de riesgos y el cumplimiento de los requerimientos normativos. Adicionalmente debe contar con procedimientos que permitan realizar un control adecuado del cumplimiento de las políticas y límites establecidos en la gestión de riesgos, y con un plan de conservación, custodia y seguridad de la información tanto documental como electrónica. Circular externa g. Las SAPAC deben contar con un sistema de información suficiente que le permita medir la exposición a los diferentes riesgos, identificar el perfil de riesgo de la sociedad, definir el apetito de riesgo y gestionar adecuadamente los riesgos. Las bases de datos deben mantenerse constantemente actualizadas y deben contar con mecanismos que garanticen la calidad y consistencia de la información. Adicionalmente deben existir procedimientos adecuados y oportunos de atención de las solicitudes de actualización o rectificación de la información que presenten los suscriptores. El sistema de información de las SAPAC debe ser efectivo, veraz, eficiente y oportuno en la generación de reportes, tanto internos como externos, y garantizar la adecuada gestión de los riesgos, la toma decisiones informadas y el cumplimiento de los requerimientos normativos.