SAGRILAFT – PLAZO PARA SU IMPLEMENTACIÓN – OFICIAL DE CUMPLIMIENTO – CONTRATOS CON ENTIDADES PÚBLICAS.

OFICIO 220-120607 DEL 29 AGOSTO DE 2021 ASUNTO: SAGRILAFT – PLAZO PARA SU IMPLEMENTACIÓN – OFICIAL DE CUMPLIMIENTO – CONTRATOS CON ENTIDADES PÚBLICAS. Me refiero a su comunicación radicada en ésta entidad con el número de la referencia, por medio de la cual, con relación a la Circular Externa No 100-000016 del 24 de diciembre de 2020 modificada parcialmente por la Circular Externa No 100-000004 del 9 de abril de 2021, plantea cuatro inquietudes relacionadas con el SAGRILAFT, las cuales se resolverán en el mismo orden propuesto. Sobre el particular, me permito manifestarle que en atención al derecho de petición en la modalidad de consulta, la Superintendencia de Sociedades con fundamento en los artículos 14 y 28 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo y el artículo 11, numeral 2 del Decreto 1736 de 2020 ( numeral 2 (2.3) de la Resolución 100-000041 del 2021), emite un concepto de carácter general sobre las materias a su cargo, que no se dirige a resolver situaciones de orden particular ni constituye asesoría encaminada a solucionar controversias, o determinar consecuencias jurídicas derivadas de actos o decisiones de los órganos de una sociedad determinada. En este contexto, se explica que las respuestas en instancia consultiva no son vinculantes ni comprometen la responsabilidad de la Entidad, no constituyen prejuzgamiento, y tampoco pueden condicionar ni comprometer el ejercicio de sus competencias judiciales o administrativas en una situación de carácter particular y concreto. También es procedente informarle que, para efecto del conteo de términos en la atención de su consulta, mediante el artículo 5º de la parte resolutiva del Decreto Legislativo 491 del 28 de marzo de 2020, expedida con ocasión de la emergencia sanitaria derivada del Coronavirus COVID-19 y mientras ésta se mantiene, el Gobierno Nacional amplió los términos para que entidades como ésta Superintendencia atiendan peticiones de consulta en treinta y cinco (35) días. Con el alcance indicado, éste Despacho procede a dar respuesta a sus inquietudes en los siguientes términos: “1 ¿En cumplimiento de la Circular Externa No 100-000016 del 24 de diciembre de 2020, la empresa obligada deberá notificar, informar y/o reportar a la superintendencia de sociedades, antes del 31 de agosto de 2021, el cumplimiento de la implementación y/o ajuste del sistema de autocontrol y gestión del riesgo de LA/FT/FPADM? El numeral 7.1. de la Circular Externa No 100-000004 del 9 de abril de 2021, que modificó parcialmente la Circular Externa No 100-000016 del 24 de diciembre de 2020, establece lo siguiente con relación al plazo para la implementación del Régimen de Autocontrol y Gestión del Riesgo Integral LA/FT/FPADM: “(…) Para el año 2021, las Empresas que adquieran la calidad de Empresas Obligadas al SAGRILAFT o al Régimen de Medidas Mínimas con corte al 31 de diciembre de 2020, deberán poner en marcha el SAGRILAFT o el Régimen de Medidas Mínimas, respectivamente, a más tardar el 31 de agosto de 2021. (…)” En consecuencia, para el año 2021, las Empresas Obligadas deberán haber implementado el SAGRILAFT o el Régimen de Medidas Mínimas a más tardar al 31 de agosto de 2021. Por su parte, el numeral 5 de la Circular Externa No 100-000016 de 2020 dispone lo siguiente: “5. Sistema de Autocontrol y Gestión del Riesgo LA/FT/FPADM-SAGRILAFT Las Empresas Obligadas, mencionadas en los numerales 4.1. y 4.2. del presente Capitulo X, deberán poner en marcha un SAGRILAFT, entre otros elementos, una política LA/FT/FPADM y un manual de procedimiento de gestión del Riesgo AGRILAFT deberá tener en cuenta los riesgos propios de la Empresa Obligada y la materialidad, relacionados con LA/FT/FPADM, para lo cual se debe analizar el tipo de negocio, la operación, el tamaño, las Áreas Geográficas donde opera y demás características particulares. Para los anteriores fines, las Empresas Obligadas deberán contar con una Matriz de Riesgo LA/FT/FPADM u otro mecanismo equivalente de evaluación del Riesgo LA/FT/FPADM que les permita medir y auditar su evolución. El SAGRILAFT debe identificar y manejar los Riesgos LA/FT/FPADM de cada Empresa Obligada, con la premisa que a mayor riesgo se debe tener mayor control. 5.1. Elementos del SAGRILAFT La puesta en marcha del SAGRILAFT requiere del cumplimiento efectivo de la Política LA/FT/FPADM y los procedimientos de diseño, aprobación, seguimiento, divulgación y capacitación incluidos en el manual, en los términos descritos más adelante, y debe traducirse en una regla de conducta que oriente la actuación de la Empresa, sus empleados, asociados, administradores y demás vinculados o partes interesadas. Dentro de los elementos del SAGRILAFT se incluyen: 5.1.1. Diseño y aprobación El diseño del SAGRILAFT estará a cargo de la Empresa Obligada, para lo cual deberá tener en cuenta la materialidad, las características propias de la Empresa y su actividad, así como la identificación de los Factores de Riesgo LA/FT/FPADM (Matriz de Riesgo LA/FT/FPADM u otro mecanismo de evaluación, individualización, identificación y segmentación del Riesgo LA/FT/FPADM). El representante legal y la junta directiva, o el máximo órgano social cuando aquella no existe, deberán disponer de las medidas operativas, económicas, físicas, tecnológicas y de recursos que sean necesarias para que el Oficial de Cumplimiento pueda desarrollar sus labores de manera adecuada. (…).” Ahora, si bien es cierto que el Capítulo X de la Circular Básica Jurídica de ésta Superintendencia no impone a las Empresas Obligadas el deber de notificar, informar o reportar a la Superintendencia de Sociedades la implementación del SAGRILAFT o del Régimen de Medidas Mínimas, ello no obsta para que ésta entidad, en ejercicio de sus funciones de supervisión, solicite en el momento en que lo considere pertinente, la información relacionada con la implementación y el funcionamiento del SAGRILAFT o del Régimen de Medidas Mínimas. Por último, respecto del incumplimiento del Capítulo X de la Circular Básica Jurídica de la Superintendencia de Sociedades, su numeral 8 dispone que el incumplimiento de las órdenes e instrucciones impartidas en el Capítulo X, dará lugar a las investigaciones administrativas que sean del caso y a la imposición de las sanciones administrativas pertinentes a la Empresa Obligada, al Oficial de Cumplimiento, al revisor fiscal o a sus administradores, de conformidad con lo establecido en el numeral 3 del artículo 86 de la Ley 222 de 1995, sin perjuicio de las acciones que correspondan a otras autoridades. “2. De acuerdo con lo establecido en el artículo 5.1.4.7. de la Circular Externa No. 100- 000016 del 24 de diciembre de 2020, el oficial de cumplimiento puede pertenecer a un departamento específico en la estructura organizacional de la empresa obligada (ej: legal, asuntos corporativos, comercial), pero reportar directamente a la junta directiva y/o máximo órgano social? Lo anterior, teniendo en cuenta que el numeral 23 del comité de supervisión bancario de Basilea que establece: "(...) así pues, para permitir juicios ecuánimes y facilitar un asesoramiento imparcial a la dirección, el responsable ejecutivo de PBC/FT no deberá, por ejemplo, asumir competencias en las líneas de negocio ni en el contexto de protección de datos o en la función de auditoría interna. ante cualquier conflicto entre las líneas de negocio y las atribuciones del responsable ejecutivo de PBC/FT, deberán existir procedimientos que garanticen que las cuestiones de PBC/FT reciben una consideración objetiva al más alto nivel". Con relación a su inquietud, es preciso realizar las siguientes consideraciones: La Circular Externa No 100-000016 del 24 de diciembre de 2020 señala: “(…) 5.1.1. Diseño y aprobación (…) La aprobación del SAGRILAFT será responsabilidad de la junta directiva en las Empresas que cuenten con este órgano, o del máximo órgano social en los demás casos. El proyecto de SAGRILAFT deberá ser presentado conjuntamente por el representante legal y el Oficial de Cumplimiento. La aprobación deberá constar en el acta de la reunión correspondiente. (…) 5.1.4.1 Funciones de la junta directiva o del máximo órgano social La junta directiva, o el máximo órgano social cuando aquella no existe, es el órgano responsable de la puesta en marcha y efectividad del SAGRILAFT. Para ello, deberá disponer de la estructura organizacional que asegure el logro efectivo de estos propósitos. (…) 5.1.4.3. Oficial de Cumplimiento El Oficial de Cumplimiento debe participar activamente en los procedimientos de diseño, dirección, implementación, auditoría, verificación del cumplimiento y monitoreo del SAGRILAFT, y estar en capacidad de tomar decisiones frente a la gestión del Riesgo LA/FT/FPADM. Por su parte, la administración de la Empresa Obligada deberá brindarle un apoyo efectivo y los recursos humanos, físicos, financieros y técnicos necesarios para llevar a cabo la implementación, auditoría y cumplimiento del SAGRILAFT (…)”. (Subraya el Despacho) La Circular Externa No 100-000004 del 9 de abril de 2021, dispone lo siguiente: “(…) 5.1.4.3.1. Requisitos mínimos para ser designado como Oficial de Cumplimiento La persona natural designada como Oficial de Cumplimiento debe cumplir como mínimo con los siguientes requisitos: a. Gozar de la capacidad de tomar decisiones para gestionar el Riesgo LA/FT/FPADM y tener comunicación directa con, y depender directamente de, la junta directiva o el máximo órgano social en caso de que no exista junta directiva. (…)” (Subraya fuera del texto). A su vez, la Circular Externa No 100-000016 del 24 de diciembre de 2020 establece: “(…) 5.1.4.3.2. Funciones del Oficial de Cumplimiento Además de las funciones que se le asignen al Oficial de Cumplimiento en el SAGRILAFT de cada Empresa Obligada, deberá cumplir, como mínimo, las siguientes: a. Velar por el cumplimiento efectivo, eficiente y oportuno del SAGRILAFT. b. Presentar, por lo menos una vez al año, informes a la junta directiva o, en su defecto, al máximo órgano social. Como mínimo, los reportes deberán contener una evaluación y análisis sobre la eficiencia y efectividad del SAGRILAFT y, de ser el caso, proponer las mejoras respectivas. Así mismo, demostrar los resultados de la gestión del Oficial de Cumplimiento, y de la administración de la Empresa, en general, en el cumplimiento del SAGRILAFT. (…) 5.1.4.7 Contenido de los informes a cargo de los diferentes órgano Los informes que deban presentar el representante legal, el Oficial de Cumplimiento o los órganos internos de control, según el caso, deberán dar cuenta de los resultados, análisis, evaluaciones y correctivos en la implementación, gestión, avance, cumplimiento, dificultades y efectividad alcanzados mediante el SAGRILAFT. La revisoría fiscal y la auditoría interna, podrán incluir propuestas de mejora cuando ello sea pertinente. (…)”. (Subraya el Despacho) Por su parte, la Circular Externa No 100-000004 del 9 de abril de 2021, consagra lo siguiente: “(…) 5.1.2. Auditoría y cumplimiento del SAGRILAFT Con el fin de que en la Empresa Obligada haya una persona responsable de la auditoría y verificación del cumplimiento del SAGRILAFT, se deberá designar un Oficial de Cumplimiento (…) La junta directiva deberá realizar esa designación. En el evento de que no exista junta directiva, el representante legal propondrá la persona que ocupará la función de Oficial de Cumplimiento, para la designación por parte del máximo órgano social. (…)” Por último, la Circular Externa No 100-000016 del 24 de diciembre de 2020, en su numeral 5.1.4.7. acota: “5.1.4.7 Contenido de los informes a cargo de los diferentes órganos Los informes que deban presentar el representante legal, el Oficial de Cumplimiento o los órganos internos de control, según el caso, deberán dar cuenta de los resultados, análisis, evaluaciones y correctivos en la implementación, gestión, avance, cumplimiento, dificultades y efectividad alcanzados mediante el SAGRILAFT. La revisoría fiscal y la auditoría interna, podrán incluir propuestas de mejora cuando ello sea pertinente.” De acuerdo con lo anterior, es claro que, a la luz de lo dispuesto en las Circulares Externas citadas, independientemente de si el oficial de cumplimiento labora o no en la empresa obligada, a éste le corresponde cumplir con todas las obligaciones a su cargo, lo mismo que a los demás órganos sociales. En lo que tiene que ver específicamente con su inquietud, es preciso señalar que el Oficial de Cumplimiento puede pertenecer alguna de las áreas de la empresa siempre y cuando, entre otros: i) Goce de la capacidad de tomar decisiones para gestionar el Riesgo LA/FT/FPADM, ii) Tenga comunicación directa con, y dependa directamente de la junta directiva o del máximo órgano social en caso de que no exista junta directiva, iii) Cumpla a cabalidad con los requisitos para ser designado como Oficial de Cumplimiento y iv) El órgano competente de la Empresa Obligada determine si las funciones adicionales no impiden el correcto desempeño del Oficial de Cumplimiento, y además valide la inexistencia de conflictos de interés, inhabilidades e incompatibilidades, así como el cumplimiento de los demás requisitos establecidos en el Capítulo X de la Circular Básica Jurídica.1 “3 En cumplimiento de las disposiciones legales aplicables al LA/FT/FPADM ¿qué procedimiento debe realizar el oficial de cumplimiento cuando encuentre que la contraparte y/o beneficiario final está(n) siendo investigado(s) (en el extranjero) por delitos relacionados con enriquecimiento ilícito y/o similares?” Frente a su inquietud, éste Despacho mediante Oficio 220-088196 del 29 de junio de 2021, referente al numeral 5.3.1. (Debida Diligencia) de la Circular Externa No 100-000016 de 2020, señaló: “(…) 1 “5.1.4.8. Incompatibilidades e inhabilidades de los diferentes órganos En el establecimiento de los órganos e instancias encargadas de efectuar una evaluación del cumplimiento y efectividad del SAGRILAFT, la Empresa Obligada deberá tener en cuenta los conflictos de interés, las incompatibilidades y las inhabilidades de los responsables en el desempeño de sus funciones. En ese sentido, debido a la diferencia de las funciones que corresponden al revisor fiscal, auditor interno, al administrador y al Oficial de Cumplimiento, no se deberá designar al revisor fiscal, auditor interno o administrador como Oficial de Cumplimiento.” “5.3.1. Debida Diligencia En todo caso, las Empresas Obligadas siempre deben adoptar Medidas Razonables de Debida Diligencia de la Contraparte, con un enfoque basado en riesgo y la materialidad del mismo. Para tal efecto, deben adoptar las siguientes medidas mínimas conforme a la materialidad, entre otras: a. Identificar a la Contraparte y verificar su identidad utilizando documentos, datos o información confiable, de fuentes independientes. b. Identificar al Beneficiario Final de la Contraparte y tomar Medidas Razonables para verificar su identidad. c. Tratándose de Personas Jurídicas, se deben tomar Medidas Razonables para conocer la estructura de su propiedad con el fin de obtener el nombre y el número de identificación de los Beneficiarios Finales, haciendo uso de las herramientas de que disponga. Las medidas tomadas deben ser proporcionales al nivel del riesgo y su materialidad o complejidad inducida por la estructura de titularidad de la sociedad mercantil o la naturaleza de los asociados mayoritarios. d. Entender, y cuando corresponda, obtener información sobre el propósito y el carácter que se pretende dar a la relación comercial. e. Realizar una Debida Diligencia continua de la relación comercial y examinar las transacciones llevadas a cabo a lo largo de esa relación para asegurar que las transacciones que se realicen sean consistentes con el conocimiento que tiene la Empresa Obligada sobre la Contraparte, su actividad comercial y el perfil de riesgo, incluyendo, cuando sea necesario, la fuente de los fondos. Las Empresas Obligadas podrán diseñar y definir formatos para el adecuado conocimiento de las Contrapartes. Estos formatos podrán ajustarse de acuerdo con las características de cada industria o sector económico al que pertenezcan, y conforme a los Factores de Riesgo LA/FT/FPADM identificados, a la Matriz de Riesgo LA/FT/FPADM y la materialidad del Riesgo LA/FT/FPADM. Para el análisis de las operaciones con las Contrapartes, la Empresa Obligada debe construir una base de datos u otro mecanismo que le permita consolidar e identificar alertas presentes o futuras. Esta base de datos debe contener, como mínimo, el nombre de la Contraparte ya sea persona natural o jurídica, la identificación, el domicilio, el Beneficiario Final, el nombre del representante legal, el nombre de la persona de contacto, el cargo que desempeña, fecha del proceso de conocimiento o monitoreo de la Contraparte. Las Empresas Obligadas podrán ser requeridas a reportar esta información a la Superintendencia de Sociedades, en la oportunidad y condiciones que la entidad lo establezca. (…) Las Empresas Obligadas previo al inicio de la relación contractual o legal, deberán haber cumplido con los procedimientos de Debida Diligencia que forman parte del SAGRILAFT, adjuntando para tal efecto los soportes exigidos o requeridos. De igual manera, la vinculación de la Contraparte debe haber sido aprobada por el funcionario o persona encargada, de acuerdo con la Política LA/FT/FPADM de la Empresa Obligada. Si la Empresa Obligada no puede llevar a cabo la Debida Diligencia satisfactoriamente, deberá evaluar la pertinencia de iniciar o terminar la relación legal o contractual, así como también la procedencia de reportar la operación como sospechosa. Excepcionalmente, las Empresas Obligadas pueden completar la verificación después de establecida la relación comercial, si así ha sido establecido en la Política LA/FT/FPADM, siempre y cuando esto ocurra lo antes y razonablemente posible. La Política LA/FT/FPADM debe señalar específicamente los eventos en los que procede, que deben obedecer a aquellos esenciales para no interrumpir la conducción normal de la operación. En todo caso, los Riesgos LA/FT/FPADM deben estar efectivamente bajo control y deben existir procedimientos documentados sobre el manejo del riesgo que establezca las condiciones bajo las cuales la Contraparte puede utilizar la relación antes de la verificación. Si no puede llevar a cabo la Debida Diligencia satisfactoriamente una vez establecida la relación comercial, la Empresa Obligada deberá evaluar de acuerdo con su Política LA/FT si debe continuar con la relación contractual y si es procedente hacer un ROS en relación con la Contraparte. (…)” Conforme a lo anterior, la Circular en mención no determina límites sobre la forma especifica en la cual, la Empresa Obligada, debe establecer el conocimiento de sus contrapartes y beneficiarios finales; por el contrario, solo brinda unos parámetros mínimos con los que debe cumplir la Empresa Obligada, a la hora de establecer una debida diligencia y una debida diligencia intensificada, pero es deber de ésta definir cuáles serán los mecanismos adicionales e idóneos para cumplir con la obligación de conocimiento de las contrapartes y los beneficiarios finales. Lo anterior significa que la Empresa Obligada deberá tomar en cuenta su actividad propia, los riesgos a los que su negocio puede verse expuesto, la materialidad del riesgo y la zona geográfica, entre otros, con el fin de desplegar todas las medidas razonables y necesarias para llevar a cabo ya sea una debida diligencia o una debida diligencia intensificada, que permita el conocimiento de las contrapartes y beneficiarios finales, conforme a su Sistema de Prevención y Riesgo, y dejando a su vez evidencia de los esfuerzos realizados para lograrlo. De acuerdo con lo establecido en el Capítulo X, las medidas razonables son las acciones suficientes, apropiadas y medibles en calidad y cantidad para mitigar el riesgo LA/FT/FPADM, teniendo en cuenta los riesgos propios de la Empresa Obligada y su materialidad”. Por tanto, y para efectos de responder su pregunta, el Oficial de Cumplimiento al verificar el cumplimiento de los procedimientos de Debida Diligencia y Debida Diligencia Intensificada, debe estar en capacidad de tomar decisiones frente a la gestión del Riesgo LA/FT/FPADM y poner en conocimiento de la Junta Directiva o del Máximo Órgano Social, en el evento de que aquella no existiere, las medidas adoptadas y realizar el Reporte de las Operaciones Sospechosas a la UIAF. Con los anteriores elementos de juicio, la Empresa Obligada deberá evaluar de acuerdo con el SAGRILAFT, la posibilidad de no iniciar la relación o de darla por terminada. “4. Si dentro del desarrollo ordinario de sus negocios la empresa obligada celebra contratos con entidades públicas (ley 80 de 1993 y demás normas concordantes), ¿deberá realizar el procedimiento de debida diligencia intensificada de que trata la circular externa no. 100-000016 del 24 de diciembre de 2020?” Con relación a ésta inquietud, éste Despacho mediante Oficio 220-119415 del 25 de agosto de 2021, expresó lo siguiente: “(…) es necesario indicar que la Circular Externa 100-000016 del 24 de diciembre de 2020, no consagra una excepción respecto de la obligación que tienen las Empresas Obligadas, de realizar la debida diligencia frente a las entidades públicas con quienes tengan vínculos comerciales, de negocios o contractuales. Por tanto, en el señalado caso y según lo determinado en el numeral 5.3.1. de la Circular Externa 100-000016 de 2020, las Empresas Obligadas deberán adoptar medidas razonables de debida diligencia de la Contraparte, con un enfoque basado en riesgo y la materialidad del mismo. En este sentido, ha de tenerse en cuenta que, según el Grupo de Acción Financiera Internacional - GAFI en su recomendación 10 de Debida Diligencia, se estableció respecto del nivel de riesgo del cliente lo siguiente: “Riesgos menores Hay circunstancias en las que el riesgo de lavado de activos o financiamiento del terrorismo puede ser menor. En estas circunstancias, y siempre que medie un análisis adecuado del riesgo por parte del país o la institución financiera, puede ser razonable que un país permita a sus instituciones financieras aplicar medidas simplificadas de DDC. Al evaluar los riesgos de lavado de activos y financiamiento del terrorismo relativos a los tipos de clientes, países o áreas geográficas, y productos en particular, servicios, transacciones o canales de envío, entre los ejemplos de posibles situaciones de riesgo menor se pueden citar los siguientes: (a) Factores de riesgo con respecto al cliente: (…) Administraciones o empresas públicas. (…)”. En consecuencia, es preciso señalar que un riesgo, aunque menor, existe, y en esa medida, es necesario que la sociedad a través de la evaluación respectiva, realice por lo menos las verificaciones mínimas correspondientes que determina la normatividad (numeral 5.3.1. de la Circular Externa 100-000016 de 2020). “(…)”. En los anteriores términos sus inquietudes han sido atendidas, con los efectos descritos en el artículo 28 Código de Procedimiento Administrativo y de lo Contencioso Administrativo, no sin antes señalar que en la Página WEB de la Entidad puede consultar directamente la normatividad, los conceptos que la misma emite sobre las materias de su competencia, entre otros.