SAGRILAFT - DEBIDA DILIGENCIA

OFICIO 220-328532 DEL 05 DE DICIEMBRE DE 2023 REFERENCIA: RADICACIÓN 2023-01-854343 ASUNTO: SAGRILAFT - DEBIDA DILIGENCIA Me refiero a su comunicación radicada con el número de la referencia mediante la cual, previas las consideraciones allí expuestas, formula una consulta en los siguientes términos: 1. “Cada cuánto la empresa hace debida diligencia: ¿antes, durante y después de un negocio jurídico? 2. ¿Cada cuánto la empresa hace monitoreo al proceso de debida diligencia para el conocimiento de las contrapartes?” Previamente a responder sus inquietudes, debe señalarse que, en atención al derecho de petición en la modalidad de consulta, la Superintendencia de Sociedades con fundamento en los artículos 14 y 28 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, emite conceptos de carácter general y abstracto sobre las materias a su cargo, que no se dirigen a resolver situaciones de orden particular, ni constituyen asesoría encaminada a solucionar controversias, o determinar consecuencias jurídicas derivadas de actos o decisiones de los órganos de una sociedad determinada. A su vez, sus respuestas a las consultas no son vinculantes ni comprometen la responsabilidad de la entidad. Con el alcance indicado, este Despacho procede a responder sus inquietudes en los siguientes términos: La Circular Externa 100-000016 del 24 de diciembre de 2020 establece lo siguiente: “(…) 5.2.4. Monitoreo del riesgo: Página: | 1 ________________________________________________________________________ El SAGRILAFT debe permitirle a las Empresas Obligadas ejercer vigilancia respecto del perfil de riesgo y, en general, estar en condiciones de detectar Operaciones Inusuales y Operaciones Sospechosas. Para monitorear el Riesgo LA/FT/FPADM, las Empresas Obligadas deben, como mínimo: a. Realizar el seguimiento periódico y comparativo del Riesgo Inherente y Riesgo Residual de cada Factor de Riesgo LA/FT/FPADM y de los riesgos asociados. b. Desarrollar un proceso de seguimiento continuo y efectivo que facilite la rápida detección y corrección de las deficiencias del SAGRILAFT. Dicha verificación y revisión debe tener una periodicidad acorde con el perfil de Riesgo Residual de la Empresa Obligada. c. Asegurar que los controles sean integrales y se refieran a todos los riesgos y que funcionen en forma oportuna, efectiva y eficiente. d. Asegurar que los Riesgos Residuales se encuentren en los niveles de aceptación establecidos por la Empresa Obligada. (…)” Con base en lo anterior, la Empresa Obligada debe necesariamente estar en condiciones de identificar, evaluar, prevenir y mitigar el riesgo de lavado de activos, financiación del terrorismo y fabricación y producción de armas de destrucción masiva. De ahí que el SAGRILAFT deba tener en cuenta los riesgos propios de la Empresa Obligada y la materialidad, relacionados con LA/FT/FPADM, para lo cual se debe analizar el tipo de negocio, la operación, el tamaño, las áreas geográficas donde opera y demás características particulares. Para los anteriores fines, las Empresas Obligadas deberán contar con una Matriz de Riesgo LA/FT/FPADM u otro mecanismo equivalente de evaluación del Riesgo LA/FT/FPADM que les permita medir y auditar su evolución. Dicho esto, el numeral 5.3.1. de la Circular en comento, contempla que el: “(…) monitoreo y actualización del proceso de Debida Diligencia deberá hacerse con la periodicidad y regularidad establecida por la Empresa Obligada, mínimo una vez cada dos (2) años o cada vez que aparezca necesario conforme a los cambios de las condiciones jurídicas y reputacionales de la Contraparte, y no solo en el momento de su vinculación” (Negrilla fuera del texto). Por lo tanto, se hace necesario que la Empresa Obligada realice una revisión exhaustiva de la Circular Externa 100-000016 de 2020 y aquellas que la modifiquen o adicionen, a fin de que establezca sus propios procedimientos e implemente sus propias señales de alerta de Riesgo de LA/FT/FPADM. En este sentido, le corresponde a la Empresa Obligada definir el proceso de debida diligencia para el conocimiento de las contrapartes, de acuerdo con las necesidades y situaciones propias de la sociedad. Por otro lado, es preciso recordar que las Empresas Obligadas siempre deben adoptar Medidas Razonables de Debida Diligencia de la Contraparte, con un enfoque basado en riesgo y la materialidad del mismo. Para tales efectos, las Medidas Razonables son las acciones suficientes, apropiadas y medibles en calidad y cantidad para mitigar el Riesgo LA/FT/FPADM, teniendo en cuenta los riesgos propios de la Empresa Obligada y su materialidad. Página: | 2 ________________________________________________________________________ El Capítulo X de la Circular Básica Jurídica de la Superintendencia de Sociedades brinda unos parámetros mínimos con los que debe cumplir la Empresa Obligada, a la hora de establecer una debida diligencia, pero es deber de ésta definir cuáles serán los mecanismos adicionales e idóneos para cumplir con tal obligación de acuerdo con la situación particular y las necesidades de cada empresa. Ahora bien, en cuanto al análisis de las operaciones con las Contrapartes, la Circular en mención no determina límites sobre la forma específica en la cual, la Empresa Obligada, debe establecer el conocimiento de sus contrapartes, ni la forma exacta en la que se deben actualizar las bases de datos. Lo anterior, en la medida que la Circular brinda unos parámetros mínimos con los que debe cumplir la Empresa Obligada, a la hora de establecer una debida diligencia, pero es deber de ésta definir cuáles serán los mecanismos adicionales e idóneos para cumplir con la obligación de conocimiento de las contrapartes y los beneficiarios finales. Lo anterior, significa que la Empresa Obligada deberá tomar en cuenta su actividad propia, los riesgos a los que su negocio puede verse expuesto, la materialidad del riesgo y la zona geográfica, entre otros, con el fin de desplegar todas las medidas razonables y necesarias para llevar a cabo ya sea una debida diligencia o una debida diligencia intensificada, que permita el conocimiento de las contrapartes y beneficiarios finales, conforme a su Sistema de Prevención y Riesgo, y dejando a su vez evidencia de los esfuerzos realizados para lograrlo. Así las cosas, la Empresa Obligada debe asegurar que los documentos, datos o información recopilada dentro del proceso de Debida Diligencia se mantengan actualizados acorde con su Sistema de Prevención y Riesgo, mediante la realización de revisiones de los registros existentes, particularmente para las categorías de clientes de mayor riesgo. En los anteriores términos se ha atendido su inquietud. Se pone de presente que el presente oficio tiene los alcances del artículo 28 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, y que en la Página WEB de ésta entidad puede consultar directamente la normatividad, los conceptos que la misma emite sobre las materias de su competencia los cuales también podrá ubicar en la herramienta tecnológica Tesauro. Página: | 3