ALGUNOS ASPECTOS SOBRE LOS PARÁMETROS DEL SAGRILAFT.

OFICIO 220- 032169 28 DE DICIEMBRE DE 2023 ASUNTO ALGUNOS ASPECTOS SOBRE LOS PARÁMETROS DEL SAGRILAFT Me refiero a la comunicación radicada en esta Superintendencia con el número de la referencia, la cual fuera trasladada a nuestra Entidad por la Oficina Jurídica del Ministerio del Trabajo, en la que formula una consulta en los siguientes términos: “Parámetros que deberán seguir los empleadores frente a las disposiciones dispuestas en el Capítulo X de la Circular Básica Jurídica emitida por la Superintendencia de Sociedades, donde se regula el Sistema de Autocontrol y Gestión Integral del Riesgo SAGRILAFT”. Sobre el particular, me permito manifestarle que en atención al derecho de petición en la modalidad de consulta, la Superintendencia de Sociedades con fundamento en los artículos 14 y 28 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, el artículo 11, numeral 2 del Decreto 1736 de 2020 y el artículo 2 (numeral 2.3) de la Resolución 100-000041 del 2021 de esta Entidad, emite conceptos de carácter general y abstracto sobre las materias a su cargo, que no se dirigen a resolver situaciones de orden particular, ni constituyen asesoría encaminada a solucionar controversias o determinar consecuencias jurídicas derivadas de actos o decisiones de los órganos de una sociedad determinada. En este contexto, se explica que las respuestas en instancia consultiva no son vinculantes, no comprometen la responsabilidad de la Entidad, no constituyen prejuzgamiento y tampoco pueden condicionar ni comprometer el ejercicio de sus competencias judiciales o administrativas en una situación de carácter particular y concreto. Adicional a ello, las respuestas que se dan a los requerimientos se encuentran directamente relacionadas a las facultades que ejerce la entidad de acuerdo con la legislación nacional. Con el alcance indicado, esta Oficina, respecto del Sistema de Autocontrol y Gestión Integral del Riesgo “SAGRILAFTT”, considera procedente traer a colación lo señalado en el Oficio No. 241-014245 del 23 de enero de 2023, mediante el cual el Grupo de Supervisión de Programas y Riesgos Especiales, adscrito a la Dirección de Cumplimiento de la Delegatura de Asuntos Económicos y Societarios de esta Superintendencia, se pronunció sobre el tema objeto de consulta en los siguientes términos: Página | 2 ________________________________________________________________________ “(…) La Superintendencia de Sociedades, en cumplimiento de su política de supervisión por riesgos ha identificado que una de las contingencias a las que están expuestas las Empresas sujetas a su inspección, vigilancia y control radica en la probabilidad de que estas puedan ser usadas o presentarse como medio en actividades de lavado de activos, financiamiento del terrorismo y financiamiento de la proliferación de armas destrucción masiva. Por lo anterior, es pertinente aclarar en primer lugar que, las instrucciones impartidas en el Capítulo X1 de la Circular Básica Jurídica, han sido concebidas para permitir que las empresas obligadas a implementar un Sistema de Autocontrol y Gestión del Riesgo de LA/FT/FPADM diseñen su propio sistema con autonomía, para que éste realmente obedezca a las necesidades de cada Empresa, de acuerdo con sus particularidades, su tamaño, su modelo de negocio, los riesgos particulares a los cuales se encuentra expuesta, su entorno de mercado, conocimiento de proveedores, conocimiento de clientes y la obligación de reporte de operaciones sospechosas a la UIAF, entre otros aspectos. Lo anterior se estructura en concordancia con uno de los objetivos estratégicos de esta Entidad, contar con “más empresa, más empleo” a través de una cultura de cumplimiento y un adecuado gobierno corporativo de las sociedades, que permita tener más empresas competitivas, productivas y perdurables en beneficio del país y de sus ciudadanos. Aclarado lo anterior, atendemos la consulta elevada indicando los siguiente: Para determinar si una sociedad se encuentra en la obligación de implementar un sistema de prevención de LA/FT/FPADM, debe hacerse la revisión de lo establecido en el Capítulo X de la Circular Básica Jurídica, específicamente lo indicado en el numeral 4, en este se desarrolla el ámbito de aplicación del Régimen de Autocontrol y Gestión del Riesgo Integral LA/FT/FPADM y se señalan los requisitos que las sociedades supervisadas por la Superintendencia de Sociedades deben cumplir para dar aplicación a este sistema. Por lo anterior, es pertinente traer a colación lo señalado en el numeral 4 de Capítulo X cuando indica que: 1 Circular Externa 100-000016 de 24 de diciembre de 2020, modificada por las Circulares Externas 100-000004 de 9 de abril de 2021 y 100-000015 de 24 de septiembre de 2021. Página | 3 ________________________________________________________________________ “4. Ámbito de aplicación del Régimen de Autocontrol y Gestión del Riesgo Integral LA/FT/FPADM Están obligadas a dar aplicación al Capítulo X: 4.1. Las Empresas2 sujetas a la vigilancia o al control que ejerce la Superintendencia de Sociedades que hubieren obtenido Ingresos Totales3 o tenido Activos4 iguales o superiores a cuarenta mil (40.000) SMLMV, con corte al 31 de diciembre del año inmediatamente anterior. Estas Empresas deberán dar cumplimiento a lo dispuesto en el numeral 5 del presente Capítulo X (SAGRILAFT). 4.2. Las Empresas5 que pertenezcan a cualquiera de los sectores que se señalan a continuación, siempre y cuando cumplan con todos los requisitos que se indican para el respectivo sector, deberán dar cumplimiento a lo dispuesto en el numeral 5 del presente Capítulo X (SAGRILAFT) (…)” En suma, se puede indicar que, únicamente quienes cumplan con los requisitos señalados en los sub-numerales del numeral 4 del Capítulo X serán sujetos obligados. Lo cual no es impedimento para dar aplicación voluntaria a las políticas de prevención de riesgos LA/FT/FPADM, toda vez que, en el numeral 9 del Capítulo X se recomienda la adopción voluntaria como una buena práctica empresarial para las Empresas no obligadas. “9. Recomendaciones para las Empresas no obligadas (como una buena práctica empresarial) La Superintendencia de Sociedades, como una buena práctica empresarial y de buen gobierno corporativo, recomienda a las Empresas sometidas a su supervisión, que no se encuentren obligadas a adoptar las indicaciones del presente Capítulo X, estudiar de forma específica si se encuentran expuestas a 2 Siempre y cuando no estén vigiladas por otra entidad y tengan un régimen de vigilancia especial en razón de su actividad. Ingresos Totales: son todos los ingresos reconocidos en el estado del resultado del periodo, como principal fuente de información sobre la actividad financiera de una Empresa para el periodo sobre el que se informa. De acuerdo con los criterios de revelación estos incluyen: Ingresos de Actividades Ordinarias, otros ingresos, ganancias (otras partidas que satisfacen la definición de ingresos pero que no son Ingresos de Actividades Ordinarias) e ingresos financieros. Activos: es un recurso económico presente controlado por la Empresa como resultado de sucesos pasados. Ibídem Página | 4 ________________________________________________________________________ un Riesgo LA/FT/FPADM o riesgos asociados, de modo que las medidas acá señaladas se adopten de forma voluntaria como parte de la autogestión y control de los riesgos que corresponde a toda Empresa. La puesta en marcha de lo aquí previsto permitirá prevenir y combatir adecuadamente los Riesgos LA/FT/FPADM, en beneficio de los inversionistas, administradores y demás empleados de la Empresa, y del orden público económico en general”. (…)” De otra parte, esta Oficina mediante el Oficio 220-042722 del 24 de febrero de 20236, se pronunció respecto de los parámetros mínimos con los que debe cumplir una Empresa Obligada a la hora de crear su programa, de la siguiente manera: “El numeral 5 de la Circular Externa No. 100-000016 de 2020 consagra lo siguiente: (…) 5. Sistema de Autocontrol y Gestión del Riesgo LA/FT/FPADM - SAGRILAFT Las Empresas Obligadas, mencionadas en los numerales 4.1. y 4.2. del presente Capítulo X, deberán poner en marcha un SAGRILAFT, en los términos previstos en este Capítulo X. El SAGRILAFT deberá establecer, entre otros elementos, una Política LA/FT/FPADM y un manual de procedimientos de gestión del Riesgo LA/FT/FPADM. El SAGRILAFT deberá tener en cuenta los riesgos propios de la Empresa Obligada1 y la materialidad, relacionados con LA/FT/FPADM, para lo cual se debe analizar el tipo de negocio, la operación, el tamaño, las Áreas Geográficas donde opera y demás características particulares. Para los anteriores fines, las Empresas Obligadas deberán contar con una Matriz de Riesgo LA/FT/FPADM u otro mecanismo equivalente de evaluación del Riesgo LA/FT/FPADM que les permita medir y auditar su evolución. El SAGRILAFT debe identificar y manejar los Riesgos LA/FT/FPADM de cada Empresa Obligada, con la premisa que a mayor riesgo se debe tener mayor control. COLOMBIA, SUPERINTENDENCIA DE SOCIEDADES, Oficio 220-042722 (24 de febrero de 2023). Asunto: ELEMENTOS, DISEÑO E IMPLEMENTACIÓN DEL SAGRILAFT. Disponible en: https://tesauro.supersociedades.gov.co/jsonviewer/AnQAzYYBwA8Rhfy3oaMZ Página | 5 ________________________________________________________________________ 5.1. Elementos del SAGRILAFT La puesta en marcha del SAGRILAFT requiere del cumplimiento efectivo de la Política LA/FT/FPADM y los procedimientos de diseño, aprobación, seguimiento, divulgación y capacitación incluidos en el manual, en los términos descritos más adelante, y debe traducirse en una regla de conducta que oriente la actuación de la Empresa, sus empleados, asociados, administradores y demás vinculados o partes interesadas. Dentro de los elementos del SAGRILAFT se incluyen: 5.1.1. Diseño y aprobación El diseño del SAGRILAFT estará a cargo de la Empresa Obligada, para lo cual deberá tener en cuenta la materialidad, las características propias de la Empresa y su actividad, así como la identificación de los Factores de Riesgo LA/FT/FPADM (Matriz de Riesgo LA/FT/FPADM u otro mecanismo de evaluación, individualización, identificación y segmentación del Riesgo LA/FT/FPADM). El representante legal y la junta directiva, o el máximo órgano social cuando aquella no existe, deberán disponer de las medidas operativas, económicas, físicas, tecnológicas y de recursos que sean necesarias para que el Oficial de Cumplimiento pueda desarrollar sus labores de manera adecuada. La aprobación del SAGRILAFT será responsabilidad de la junta directiva en las Empresas que cuenten con este órgano, o del máximo órgano social en los demás casos. El proyecto de SAGRILAFT deberá ser presentado conjuntamente por el representante legal y el Oficial de Cumplimiento. La aprobación deberá constar en el acta de la reunión correspondiente.” En complemento de lo anterior, la misma Circular en su numeral 5.2 establece que el SAGRILAFT deberá contemplar, como mínimo, las siguientes etapas para identificar, prevenir, controlar y gestionar el Riesgo de LA/FT/FPADM y las consecuencias de su materialización: 5.2. Etapas del SAGRILAFT El SAGRILAFT deberá contemplar, como mínimo, las siguientes etapas para identificar, prevenir, controlar y gestionar el Riesgo de LA/FT/FPADM y las consecuencias de su materialización: Página | 6 ________________________________________________________________________ 5.2.1. Identificación del Riesgo LA/FT/FPADM: El SAGRILAFT debe permitirle a las Empresas Obligadas identificar los Factores de Riesgo LA/FT/FPADM, así como los riesgos asociados con éste. Para identificar el Riesgo LA/FT/FPADM, las Empresas Obligadas deben, como mínimo: a. Clasificar los Factores de Riesgo LA/FT/FPADM de conformidad con la actividad económica de la Empresa Obligada y su materialidad. b. Establecer, una vez sean identificados, individualizados, segmentados y clasificados los Factores de Riesgo LA/FT/FPADM, las metodologías para identificar el riesgo específico de LA/FT/FPADM que puede llegar a enfrentar la Empresa Obligada, así como otros posibles riesgos asociados. Con base en esa clasificación y segmentación, se deben señalar, identificar e individualizar los riesgos. c. Establecer, una vez clasificados y segmentados los Factores de Riesgo LA/FT/FPADM, las condiciones de tiempo, modo y lugar, así como la relevancia y la prioridad con que se deben ejecutar las medidas de Debida Diligencia. d. Disponer e implementar los mecanismos y medidas que le permitan un adecuado conocimiento, identificación e individualización de los Factores de Riesgo LA/FT/FPADM que le resultan aplicables. 5.2.2. Medición o evaluación del Riesgo LA/FT/FPADM: Concluida la etapa de identificación, el SAGRILAFT debe permitirle a las Empresas Obligadas medir la posibilidad o probabilidad de ocurrencia del Riesgo Inherente frente a cada uno de los Factores de Riesgo LA/FT/FPADM, así como el impacto en caso de materializarse mediante los riesgos asociados. Estas mediciones podrán ser de carácter cualitativo o cuantitativo. Como resultado de esta etapa, las Empresas Obligadas deben estar en capacidad de establecer el perfil de Riesgo Inherente de la Empresa, de las mediciones agregadas en cada Factor de Riesgo LA/FT/FPADM y en sus riesgos asociados. Dentro de la medición o evaluación del Riesgo LA/FT/FPADM, las Empresas Obligadas deben, como mínimo: Página | 7 ________________________________________________________________________ a. Establecer las metodologías para la medición o evaluación del Riesgo LA/FT/FPADM, con el fin de determinar la posibilidad o probabilidad de su ocurrencia y el impacto en caso de materializarse. b. Incluir mediciones o evaluaciones del Riesgo LA/FT/FPADM de manera individual y consolidadas frente a cada uno de los Factores de Riesgo LA/FT/FPADM y los riesgos específicos que fueron identificados. c. Evaluar el Riesgo LA/FT/FPADM cuando incursione en nuevos mercados u ofrezca nuevos Productos. 5.2.3. Control del riesgo: El SAGRILAFT debe permitirle a las Empresas Obligadas tomar las Medidas Razonables para el control del Riesgo Inherente al que se vean expuestas. Como resultado de la aplicación de los controles respectivos, las Empresas Obligadas deben estar en capacidad de establecer su perfil de Riesgo Residual. El control debe traducirse en una disminución de la posibilidad o probabilidad de acaecimiento del Riesgo LA/FT/FPADM o del impacto en caso de materializarse. Para controlar el Riesgo LA/FT/FPADM, las Empresas Obligadas deben adoptar, entre otras medidas, el establecimiento de metodologías y la creación de una Matriz de Riesgo LA/FT/FPADM para definir los mecanismos de control más adecuados y su aplicación a los Factores de Riesgo LA/FT/FPADM identificados. Para controlar el Riesgo LA/FT/FPADM, la Empresa Obligada debe, como mínimo: a. Establecer las metodologías para definir las Medidas Razonables de control del Riesgo LA/FT/FPADM. b. Aplicar las metodologías a cada uno de los Factores de Riesgo LA/FT/FPADM. c. Establecer controles y herramientas para la detección de operaciones Inusuales y Operaciones Sospechosas, con base en los Riesgos LA/FT/FPADM identificados en la clasificación, segmentación e individualización de los Factores de Riesgo LA/FT/FPADM y conforme a la Matriz de Riesgo LA/FT/FPADM, teniendo en cuenta que a mayor riesgo mayor control. 5.2.4. Monitoreo del riesgo: El SAGRILAFT debe permitirle a las Empresas Obligadas ejercer vigilancia respecto del perfil de riesgo y, en general, estar en condiciones de detectar Operaciones Inusuales y Operaciones Sospechosas. Página | 8 ________________________________________________________________________ Para monitorear el Riesgo LA/FT/FPADM, las Empresas Obligadas deben, como mínimo: a. Realizar el seguimiento periódico y comparativo del Riesgo Inherente y Riesgo Residual de cada Factor de Riesgo LA/FT/FPADM y de los riesgos asociados. b. Desarrollar un proceso de seguimiento continuo y efectivo que facilite la rápida detección y corrección de las deficiencias del SAGRILAFT. Dicha verificación y revisión debe tener una periodicidad acorde con el perfil de Riesgo Residual de la Empresa Obligada. c. Asegurar que los controles sean integrales y se refieran a todos los riesgos y que funcionen en forma oportuna, efectiva y eficiente. d. Asegurar que los Riesgos Residuales se encuentren en los niveles de aceptación establecidos por la Empresa Obligada.”. Teniendo en cuenta lo anterior, es claro que el SAGRILAFT deberá estar construido con base en las circunstancias específicas de cada Empresa Obligada y en los riesgos propios de su operación; dependiendo de ello, dicho sistema deberá contar con mecanismos para evaluar, monitorear y controlar tales riesgos. Bajo la misma línea, se debe dejar claro que la Circular no determina límites sobre la forma específica con la cual, la Empresa Obligada, hace el diseño de su sistema de autocontrol y gestión del riesgo; por el contrario, solo brinda unos parámetros mínimos con los que debe cumplir la Empresa mencionada a la hora de crear su programa, pero es deber de ésta definir cuáles serán los mecanismos adicionales e idóneos para cumplir con las obligaciones impartidas en la Circular Externa No. 100-000016 de 2020 y aquellas que la modifiquen, adicionen, sustituyan o deroguen. (resaltado fuera de texto) En los anteriores términos su solicitud ha sido atendida con los efectos descritos en el artículo 28 de la de la Ley 1437 de 2011, sustituido por el artículo 1º de la Ley 1755 de 2015, no sin antes señalar que en la Página Web de esta Superintendencia puede consultar directamente la normatividad, los conceptos que la misma emite sobre las materias de su competencia, la Circular Básica Jurídica y la herramienta tecnológica Tesauro.