SAGRILAFT - PLAZO PARA LA IMPLEMENTACIÓN DEL RÉGIMEN DE AUTOCONTROL Y GESTIÓN DEL RIESGO INTEGRAL - CONTRATOS CON ENTIDADES PÚBLICAS.

OFICIO 220-120557 DEL 28 AGOSTO DE 2021 ASUNTO: SAGRILAFT - PLAZO PARA LA IMPLEMENTACIÓN DEL RÉGIMEN DE AUTOCONTROL Y GESTIÓN DEL RIESGO INTEGRAL - CONTRATOS CON ENTIDADES PÚBLICAS. Me refiero a su consulta radicada con el número de la referencia, por medio de la cual plantea las siguientes inquietudes: “1. ¿La Empresa Obligada deberá notificar y/o reportar a la Superintendencia de Sociedades antes del 31 de agosto de 2021, el cumplimiento de la implementación y/o ajuste del Sistema de Autocontrol y Gestión del Riesgo de la LA/FT/FPADM? 2 Si la Empresa Obligada celebra contratos con Entidades Públicas (Ley 80 de 1993 y demás normas concordantes) ¿Deberá realizar el procedimiento de debida diligencia intensificada para vinculación de PEP de que trata la Circular Externa No 100-000016 del 24 de diciembre de 2020?”. Sobre el particular, me permito manifestarle que en atención al derecho de petición en la modalidad de consulta, la Superintendencia de Sociedades con fundamento en los artículos 14 y 28 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo y el artículo 11, numeral 2 del Decreto 1736 de 2020 ( numeral 2 (2.3) de la Resolución 100-000041 del 2021), emite un concepto de carácter general sobre las materias a su cargo, que no se dirige a resolver situaciones de orden particular ni constituye asesoría encaminada a solucionar controversias, o determinar consecuencias jurídicas derivadas de actos o decisiones de los órganos de una sociedad determinada. En este contexto, se explica que las respuestas en instancia consultiva no son vinculantes ni comprometen la responsabilidad de la Entidad, no constituyen prejuzgamiento, y tampoco pueden condicionar ni comprometer el ejercicio de sus competencias judiciales o administrativas en una situación de carácter particular y concreto. También es procedente informarle que, para efecto del conteo de términos en la atención de su consulta, mediante el artículo 5º de la parte resolutiva del Decreto Legislativo 491 del 28 de marzo de 2020, expedido con ocasión de la emergencia sanitaria derivada del Coronavirus COVID-19 y mientras ésta se mantiene, el Gobierno Nacional amplió los términos para que entidades como ésta Superintendencia atiendan peticiones de consulta en treinta y cinco (35) días. Con el alcance indicado, éste Despacho procede a dar respuesta a sus inquietudes en los siguientes términos: “1. ¿La Empresa Obligada deberá notificar y/o reportar a la Superintendencia de Sociedades antes del 31 de agosto de 2021, el cumplimiento de la implementación y/o ajuste del Sistema de Autocontrol y Gestión del Riesgo de la LA/FT/FPADM?”. El numeral 7.1. de la Circular Externa No 100-000004 del 9 de abril de 2021 que modificó parcialmente la Circular Externa No 100-000016 del 24 de diciembre de 2020, establece lo siguiente con relación al plazo para la implementación del Régimen de Autocontrol y Gestión del Riesgo Integral LA/FT/FPADM: “(…)” “Para el año 2021, las Empresas que adquieran la calidad de Empresas Obligadas al SAGRILAFT o al Régimen de Medidas Mínimas con corte al 31 de diciembre de 2020, deberán poner en marcha el SAGRILAFT o el Régimen de Medidas Mínimas, respectivamente, a más tardar el 31 de agosto de 2021” “(…)” En consecuencia, para el año 2021, las Empresas Obligadas deberán haber implementado el SAGRILAFT o el Régimen de Medidas Mínimas a más tardar al 31 de agosto de 2021. Por su parte, el numeral 5 de la Circular Externa No 100-000016 de 2020 dispone lo siguiente: “5. Sistema de Autocontrol y Gestión del Riesgo LA/FT/FPADM-SAGRILAFT Las Empresas Obligadas, mencionadas en los numerales 4.1. y 4.2. del presente Capitulo X, deberán poner en marcha un SAGRILAFT, entre otros elementos, una política LA/FT/FPADM y un manual de procedimiento de gestión del Riesgo LA/FT/FPADM El SAGRILAFT deberá tener en cuenta los riesgos propios de la Empresa Obligada y la materialidad, relacionados con LA/FT/FPADM, para lo cual se debe analizar el tipo de negocio, la operación, el tamaño, las Áreas Geográficas donde opera y demás características particulares. Para los anteriores fines, las Empresas Obligadas deberán contar con una Matriz de Riesgo LA/FT/FPADM u otro mecanismo equivalente de evaluación del Riesgo LA/FT/FPADM que les permita medir y auditar su evolución. El SAGRILAFT debe identificar y manejar los Riesgos LA/FT/FPADM de cada Empresa Obligada, con la premisa que a mayor riesgo se debe tener mayor control. 5.1. Elementos del SAGRILAFT La puesta en marcha del SAGRILAFT requiere del cumplimiento efectivo de la Política LA/FT/FPADM y los procedimientos de diseño, aprobación, seguimiento, divulgación y capacitación incluidos en el manual, en los términos descritos más adelante, y debe traducirse en una regla de conducta que oriente la actuación de la Empresa, sus empleados, asociados, administradores y demás vinculados o partes interesadas. Dentro de los elementos del SAGRILAFT se incluyen: 5.1.1. Diseño y aprobación El diseño del SAGRILAFT estará a cargo de la Empresa Obligada, para lo cual deberá tener en cuenta la materialidad, las características propias de la Empresa y su actividad, así como la identificación de los Factores de Riesgo LA/FT/FPADM (Matriz de Riesgo LA/FT/FPADM u otro mecanismo de evaluación, individualización, identificación y segmentación del Riesgo LA/FT/FPADM). El representante legal y la junta directiva, o el máximo órgano social cuando aquella no existe, deberán disponer de las medidas operativas, económicas, físicas, tecnológicas y de recursos que sean necesarias para que el Oficial de Cumplimiento pueda desarrollar sus labores de manera adecuada. (…).” Ahora, si bien es cierto que el Capítulo X de la Circular Básica Jurídica de ésta Superintendencia no impone a las Empresas Obligadas el deber de notificar, informar o reportar a la Superintendencia de Sociedades la implementación del SAGRILAFT o del Régimen de Medidas Mínimas, ello no obsta para que ésta entidad, en ejercicio de sus funciones de supervisión, solicite en el momento en que lo considere pertinente, la información relacionada con la implementación y el funcionamiento del SAGRILAFT o del Régimen de Medidas Mínimas. Ahora bien, respecto del incumplimiento del Capítulo X de la Circular Básica Jurídica de la Superintendencia de Sociedades, su numeral 8 dispone que el incumplimiento de las órdenes e instrucciones impartidas en el Capítulo X, dará lugar a las investigaciones administrativas que sean del caso y a la imposición de las sanciones administrativas pertinentes a la Empresa Obligada, el Oficial de Cumplimiento, el revisor fiscal o a sus administradores, de conformidad con lo establecido en el numeral 3 del artículo 86 de la Ley 222 de 1995, sin perjuicio de las acciones que correspondan a otras autoridades. “2 Si la Empresa Obligada celebra contratos con Entidades Públicas (Ley 80 de 1993 y demás normas concordantes) ¿Deberá realizar el procedimiento de debida diligencia intensificada para vinculación de PEP de que trata la Circular Externa No 100-000016 del 24 de diciembre de 2020?” En relación con ésta inquietud, la Superintendencia de Sociedades mediante Oficio 220-119415 del 25 de agosto de 2021, expresó lo siguiente: “(…)”. “…es necesario indicar que la Circular Externa 100-000016 del 24 de diciembre de 2020, no consagra una excepción respecto de la obligación que tienen las Empresas Obligadas, de realizar la debida diligencia frente a las entidades públicas con quienes tengan vínculos comerciales, de negocios o contractuales. Por tanto, en el señalado caso y según lo determinado en el numeral 5.3.1. de la Circular Externa 100-000016 de 2020, las Empresas Obligadas deberán adoptar medidas razonables de debida diligencia de la Contraparte, con un enfoque basado en riesgo y la materialidad del mismo. En este sentido, ha de tenerse en cuenta que, según el Grupo de Acción Financiera Internacional - GAFI en su recomendación 10 de Debida Diligencia, se estableció respecto del nivel de riesgo del cliente lo siguiente: “Riesgos menores Hay circunstancias en las que el riesgo de lavado de activos o financiamiento del terrorismo puede ser menor. En estas circunstancias, y siempre que medie un análisis adecuado del riesgo por parte del país o la institución financiera, puede ser razonable que un país permita a sus instituciones financieras aplicar medidas simplificadas de DDC. Al evaluar los riesgos de lavado de activos y financiamiento del terrorismo relativos a los tipos de clientes, países o áreas geográficas, y productos en particular, servicios, transacciones o canales de envío, entre los ejemplos de posibles situaciones de riesgo menor se pueden citar los siguientes: (a) Factores de riesgo con respecto al cliente: (…) Administraciones o empresas públicas. (…)”. En consecuencia, es preciso señalar que un riesgo, aunque menor, existe, y en esa medida, es necesario que la sociedad a través de la evaluación respectiva, realice por lo menos las verificaciones mínimas correspondientes que determina la normatividad (numeral 5.3.1. de la Circular Externa 100-000016 de 2020). “(…)”. En los anteriores términos sus inquietudes han sido atendidas, con los efectos descritos en el artículo 28 Código de Procedimiento Administrativo y de lo Contencioso Administrativo, no sin antes señalar que en la Página WEB de la Entidad puede consultar directamente la normatividad, los conceptos que la misma emite sobre las materias de su competencia, entre otros.