ELEMENTOS, DISEÑO E IMPLEMENTACIÓN DEL SAGRILAFT

OFICIO 220-042722 DEL 24 DE FEBRERO DE 2023 REFERENCIA: RADICACIÓN 2023-01-014682 ASUNTO: ELEMENTOS, DISEÑO E IMPLEMENTACIÓN DEL SAGRILAFT Me refiero a su comunicación radicada con el número de la referencia mediante la cual, previas las consideraciones allí expuestas, formula una consulta relacionada con el SAGRILAFT, en los siguientes términos: 1. “De acuerdo a lo previsto en la Circular Externa No.100-000016 de 2020, sírvase especificar cuáles son los requisitos, documentos y/o procedimientos que deberá implementar la empresa a fin de cumplir con el protocolo de implementación del Sistema de Autocontrol y Gestión del Riesgo Integral de Lavado de Activos y Financiación del Terrorismo – SAGRILAFT. 2. Sírvase especificar el término del que, disponen las empresas para cumplir en su totalidad con el protocolo de aplicación y/o fases de implementación del Sistema de Autocontrol y Gestión del Riesgo Integral de Lavado de Activos y Financiación del Terrorismo – SAGRILAFT. 3. Según el numeral 4.1. de la Circular Externa No.100-000016 de 2020, expedida por esta SUPERINTEDENCIA, están obligadas a implementar el Sistema de Autocontrol y Gestión del Riesgo Integral de Lavado de Activos y Financiación del Terrorismo – SAGRILAFT. “Las Empresas sujetas a la vigilancia o al control que ejerce la Superintendencia de Sociedades que hubieren obtenido Ingresos Totales o tenido Activos iguales o superiores a cuarenta mil (40.000) SMLMV, con corte al 31 de diciembre del año inmediatamente anterior”. Al respecto, solicito resolver la siguiente inquietud: ¿Cuándo se hace referencia a Ingresos Totales se refiere a los ingresos brutos o ingresos netos previa deducción de gastos?, en otras palabras ¿Se trata de los ingresos totales percibidos a corte del 31 de diciembre o discrimina solamente utilidades netas producidas por la empresa? 4. Según el numeral 5.1.2. de la Circular Externa No. 2020-01-680161, expedida por esta SUPERINTEDENCIA, “El Oficial de Cumplimiento deberá tener un título profesional y acreditar experiencia mínima de seis (6) meses en el desempeño de cargos relacionados con la administración del SAGRILAFT”. Respecto a lo anterior, sírvase especificar ¿Cuáles son los cargos o funciones que debe haber desempeñado el Oficial de Cumplimiento para acreditar la experiencia mínima de seis (06) meses previstos en la circular expedida por esta Superintendencia? 5. Según el numeral 5.1.2. de la Circular Externa No. 2020-01-680161, expedida por esta SUPERINTEDENCIA. “La Empresa Obligada deberá certificar que el Oficial de Cumplimiento cumple con los requisitos exigidos en el presente Capítulo X y deberá informar por escrito a la Superintendencia de Sociedades, dirigido a la Delegatura de Asuntos Económicos y Societarios, dentro de los quince (15) días hábiles siguientes a la designación, el nombre, número de identificación, correo electrónico y número de teléfono del Oficial de Cumplimiento principal y suplente”. Respecto a lo anterior surge la siguiente inquietud: Una vez que la empresa hubiera designado al oficial de cumplimiento y se hubiera cumplido con el envío de los requisitos a la Delegatura de Asuntos Económicos, ¿Es la SUPERINTENDENCIA DE SOCIEDADES la encargada de aprobar la designación del Oficial de Cumplimiento? Sobre el mismo punto y, solo en el caso de que la respuesta al presente ítem sea afirmativa, aclárese que procedimiento deberá seguir la empresa en caso de que la SUPERINTENDENCIA DE SOCIEDADES rechace la designación del Oficial de Cumplimiento.” Previamente a responder sus inquietudes, debe señalarse que, en atención al derecho de petición en la modalidad de consulta, la Superintendencia de Sociedades con fundamento en los artículos 14 y 28 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, emite conceptos de carácter general y abstracto sobre las materias a su cargo, que no se dirigen a resolver situaciones de orden particular, ni constituyen asesoría encaminada a solucionar controversias, o determinar consecuencias jurídicas derivadas de actos o decisiones de los órganos de una sociedad determinada. A su vez, sus respuestas a las consultas no son vinculantes ni comprometen la responsabilidad de la entidad. Con el alcance indicado, y para dar respuesta a las inquietudes planteadas, éste Despacho procede a efectuar las siguientes consideraciones de índole general: El numeral 5 de la Circular Externa No. 100-000016 de 2020 consagra lo siguiente: “(…) 5. Sistema de Autocontrol y Gestión del Riesgo LA/FT/FPADM - SAGRILAFT Las Empresas Obligadas, mencionadas en los numerales 4.1. y 4.2. del presente Capítulo X, deberán poner en marcha un SAGRILAFT, en los términos previstos en este Capítulo X. El SAGRILAFT deberá establecer, entre otros elementos, una Política LA/FT/FPADM y un manual de procedimientos de gestión del Riesgo LA/FT/FPADM. El SAGRILAFT deberá tener en cuenta los riesgos propios de la Empresa Obligada1 y la materialidad, relacionados con LA/FT/FPADM, para lo cual se debe analizar el tipo de negocio, la operación, el tamaño, las Áreas Geográficas donde opera y demás características particulares. Para los anteriores fines, las Empresas Obligadas deberán contar con una Matriz de Riesgo LA/FT/FPADM u otro mecanismo equivalente de evaluación del Riesgo LA/FT/FPADM que les permita medir y auditar su evolución. El SAGRILAFT debe identificar y manejar los Riesgos LA/FT/FPADM de cada Empresa Obligada, con la premisa que a mayor riesgo se debe tener mayor control. 5.1. Elementos del SAGRILAFT La puesta en marcha del SAGRILAFT requiere del cumplimiento efectivo de la Política LA/FT/FPADM y los procedimientos de diseño, aprobación, seguimiento, divulgación y capacitación incluidos en el manual, en los términos descritos más adelante, y debe traducirse en una regla de conducta que oriente la actuación de la Empresa, sus empleados, asociados, administradores y demás vinculados o partes interesadas. Dentro de los elementos del SAGRILAFT se incluyen: 5.1.1. Diseño y aprobación El diseño del SAGRILAFT estará a cargo de la Empresa Obligada, para lo cual deberá tener en cuenta la materialidad, las características propias de la Empresa y su actividad, así como la identificación de los Factores de Riesgo LA/FT/FPADM (Matriz de Riesgo LA/FT/FPADM u otro mecanismo de evaluación, individualización, identificación y segmentación del Riesgo LA/FT/FPADM). El representante legal y la junta directiva, o el máximo órgano social cuando aquella no existe, deberán disponer de las medidas operativas, económicas, físicas, tecnológicas y de recursos que sean necesarias para que el Oficial de Cumplimiento pueda desarrollar sus labores de manera adecuada. La aprobación del SAGRILAFT será responsabilidad de la junta directiva en las Empresas que cuenten con este órgano, o del máximo órgano social en los demás 1 Los riesgos propios de la Empresa incluyen el análisis del tamaño y la composición general de la economía y el sector en el cual se desarrolla la actividad de cada empresa (enfoque basado en riesgo según la Recomendación GAFI No.1). casos. El proyecto de SAGRILAFT deberá ser presentado conjuntamente por el representante legal y el Oficial de Cumplimiento. La aprobación deberá constar en el acta de la reunión correspondiente.” En complemento de lo anterior, la misma Circular en su numeral 5.2 establece que el SAGRILAFT deberá contemplar, como mínimo, las siguientes etapas para identificar, prevenir, controlar y gestionar el Riesgo de LA/FT/FPADM y las consecuencias de su materialización: “5.2. Etapas del SAGRILAFT El SAGRILAFT deberá contemplar, como mínimo, las siguientes etapas para identificar, prevenir, controlar y gestionar el Riesgo de LA/FT/FPADM y las consecuencias de su materialización: 5.2.1. Identificación del Riesgo LA/FT/FPADM: El SAGRILAFT debe permitirle a las Empresas Obligadas identificar los Factores de Riesgo LA/FT/FPADM, así como los riesgos asociados con éste. Para identificar el Riesgo LA/FT/FPADM, las Empresas Obligadas deben, como mínimo: a. Clasificar los Factores de Riesgo LA/FT/FPADM de conformidad con la actividad económica de la Empresa Obligada y su materialidad. b. Establecer, una vez sean identificados, individualizados, segmentados y clasificados los Factores de Riesgo LA/FT/FPADM, las metodologías para identificar el riesgo específico de LA/FT/FPADM que puede llegar a enfrentar la Empresa Obligada, así como otros posibles riesgos asociados. Con base en esa clasificación y segmentación, se deben señalar, identificar e individualizar los riesgos. c. Establecer, una vez clasificados y segmentados los Factores de Riesgo LA/FT/FPADM, las condiciones de tiempo, modo y lugar, así como la relevancia y la prioridad con que se deben ejecutar las medidas de Debida Diligencia. d. Disponer e implementar los mecanismos y medidas que le permitan un adecuado conocimiento, identificación e individualización de los Factores de Riesgo LA/FT/FPADM que le resultan aplicables. 5.2.2. Medición o evaluación del Riesgo LA/FT/FPADM: Concluida la etapa de identificación, el SAGRILAFT debe permitirle a las Empresas Obligadas medir la posibilidad o probabilidad de ocurrencia del Riesgo Inherente frente a cada uno de los Factores de Riesgo LA/FT/FPADM, así como el impacto en caso de materializarse mediante los riesgos asociados. Estas mediciones podrán ser de carácter cualitativo o cuantitativo. Como resultado de esta etapa, las Empresas Obligadas deben estar en capacidad de establecer el perfil de Riesgo Inherente de la Empresa, de las mediciones agregadas en cada Factor de Riesgo LA/FT/FPADM y en sus riesgos asociados. Dentro de la medición o evaluación del Riesgo LA/FT/FPADM, las Empresas Obligadas deben, como mínimo: a. Establecer las metodologías para la medición o evaluación del Riesgo LA/FT/FPADM, con el fin de determinar la posibilidad o probabilidad de su ocurrencia y el impacto en caso de materializarse. b. Incluir mediciones o evaluaciones del Riesgo LA/FT/FPADM de manera individual y consolidadas frente a cada uno de los Factores de Riesgo LA/FT/FPADM y los riesgos específicos que fueron identificados. c. Evaluar el Riesgo LA/FT/FPADM cuando incursione en nuevos mercados u ofrezca nuevos Productos. 5.2.3. Control del riesgo: El SAGRILAFT debe permitirle a las Empresas Obligadas tomar las Medidas Razonables para el control del Riesgo Inherente al que se vean expuestas. Como resultado de la aplicación de los controles respectivos, las Empresas Obligadas deben estar en capacidad de establecer su perfil de Riesgo Residual. El control debe traducirse en una disminución de la posibilidad o probabilidad de acaecimiento del Riesgo LA/FT/FPADM o del impacto en caso de materializarse. Para controlar el Riesgo LA/FT/FPADM, las Empresas Obligadas deben adoptar, entre otras medidas, el establecimiento de metodologías y la creación de una Matriz de Riesgo LA/FT/FPADM para definir los mecanismos de control más adecuados y su aplicación a los Factores de Riesgo LA/FT/FPADM identificados. Para controlar el Riesgo LA/FT/FPADM, la Empresa Obligada debe, como mínimo: a. Establecer las metodologías para definir las Medidas Razonables de control del Riesgo LA/FT/FPADM. b. Aplicar las metodologías a cada uno de los Factores de Riesgo LA/FT/FPADM. c. Establecer controles y herramientas para la detección de operaciones Inusuales y Operaciones Sospechosas, con base en los Riesgos LA/FT/FPADM identificados en la clasificación, segmentación e individualización de los Factores de Riesgo LA/FT/FPADM y conforme a la Matriz de Riesgo LA/FT/FPADM, teniendo en cuenta que a mayor riesgo mayor control. 5.2.4. Monitoreo del riesgo: El SAGRILAFT debe permitirle a las Empresas Obligadas ejercer vigilancia respecto del perfil de riesgo y, en general, estar en condiciones de detectar Operaciones Inusuales y Operaciones Sospechosas. Para monitorear el Riesgo LA/FT/FPADM, las Empresas Obligadas deben, como mínimo: a. Realizar el seguimiento periódico y comparativo del Riesgo Inherente y Riesgo Residual de cada Factor de Riesgo LA/FT/FPADM y de los riesgos asociados. b. Desarrollar un proceso de seguimiento continuo y efectivo que facilite la rápida detección y corrección de las deficiencias del SAGRILAFT. Dicha verificación y revisión debe tener una periodicidad acorde con el perfil de Riesgo Residual de la Empresa Obligada. c. Asegurar que los controles sean integrales y se refieran a todos los riesgos y que funcionen en forma oportuna, efectiva y eficiente. d. Asegurar que los Riesgos Residuales se encuentren en los niveles de aceptación establecidos por la Empresa Obligada.”. Teniendo en cuenta lo anterior, es claro que el SAGRILAFT deberá estar construido con base en las circunstancias específicas de cada Empresa Obligada y en los riesgos propios de su operación; dependiendo de ello, dicho sistema deberá contar con mecanismos para evaluar, monitorear y controlar tales riesgos. Bajo la misma línea, se debe dejar claro que la Circular no determina límites sobre la forma específica con la cual, la Empresa Obligada, hace el diseño de su sistema de autocontrol y gestión del riesgo; por el contrario, solo brinda unos parámetros mínimos con los que debe cumplir la Empresa Obligada a la hora de crear su programa, pero es deber de ésta definir cuáles serán los mecanismos adicionales e idóneos para cumplir con las obligaciones impartidas en la Circular Externa No.100- 000016 de 2020 y aquellas que la modifiquen, adicionen, sustituyan o deroguen. En cuanto a la segunda pregunta, la Circular Externa No. 100-000004 de 2021 en su numeral 7.1 indica lo siguiente: “7.1. Plazo para el cumplimiento del Régimen de Autocontrol y Gestión del Riesgo Integral LA/FT/FPADM Las Empresas que adquieran la calidad de Empresas Obligadas al SAGRILAFT o al Régimen de Medidas Mínimas a partir del 31 de diciembre de cualquier año, deberán poner en marcha el SAGRILAFT o el Régimen de Medidas Mínimas, respectivamente, a más tardar el 31 de mayo del año siguiente al que adquirieron la calidad de Empresas Obligadas. Para el año 2021, las Empresas que adquieran la calidad de Empresas Obligadas al SAGRILAFT o al Régimen de Medidas Mínimas con corte al 31 de diciembre de 2020, deberán poner en marcha el SAGRILAFT o el Régimen de Medidas Mínimas, respectivamente, a más tardar el 31 de agosto del 2021. En el caso de que, al 31 de diciembre de cualquier año, una Empresa Obligada dejare de cumplir con los requisitos previstos en este Capítulo X, tal Empresa Obligada deberá cumplir con un periodo mínimo de permanencia adicional de: (i) tres (3) años a partir de dicha fecha, para el SAGRILAFT; y (ii) un (1) año a partir de dicha fecha, para el Régimen de Medidas Mínimas, de modo que seguirá estando obligada en los términos del presente Capítulo X, por tal periodo.” En lo concerniente a la tercera pregunta, cuando se habla de ingresos totales, la misma Circular 100-000016 de 2020 señala la definición respectiva, así: “Ingresos Totales: son todos los ingresos reconocidos en el estado del resultado del periodo, como principal fuente de información sobre la actividad financiera de una Empresa para el periodo sobre el que se informa. De acuerdo con los criterios de revelación estos incluyen: Ingresos de Actividades Ordinarias, otros ingresos, ganancias (otras partidas que satisfacen la definición de ingresos pero que no son Ingresos de Actividades Ordinarias) e ingresos financieros.”. Por lo que el consultante tendrá que revisar la referida definición para hacer el cálculo correspondiente. Respecto de la cuarta pregunta, la Circular Externa No.100-000004 de 2021 es clara al indicar que dicha experiencia de 6 meses debe estar relacionada al desempeño de cargos encaminados a la administración y gestión de riesgos de LA/FT, adicionalmente, acreditar conocimiento en materia de administración del Riesgo LA/FT o Riesgo LA/FT/FPADM a través de especialización, cursos, diplomados, seminarios, congresos o cualquier otra similar, incluyendo pero sin limitarse a cualquier programa de entrenamiento que sea o vaya a ser ofrecido por la UIAF a los actores del sistema nacional de antilavado de activos y contra la financiación del terrorismo. Para finalizar, se pone de presente que esta Superintendencia no es la encargada de aprobar o rechazar la designación del oficial de cumplimiento. La Circular en comento señala que es la junta directiva quien deberá realizar esa designación. En el evento de que no exista junta directiva, el representante legal propondrá la persona que ocupará la función de Oficial de Cumplimiento para la designación por parte del máximo órgano social. Cuando la Empresa Obligada sea una sucursal de sociedad extranjera, el nombramiento del Oficial de Cumplimiento deberá efectuarse por el órgano social competente de la casa matriz, al tiempo que, los reportes deberán realizarse por el Oficial de Cumplimiento designado por tal órgano social. En los anteriores términos se ha atendido su inquietud. Se pone de presente que el presente oficio tiene los alcances del artículo 28 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, y que en la Página WEB de ésta entidad puede consultar directamente la normatividad, los conceptos que la misma emite sobre las materias de su competencia los cuales también podrá ubicar en la herramienta tecnológica Tesauro.