Art. 6 de la NORMAS PARA LA ADMINISTRACIÓN DEL RIESGO DE LAVADO DE ACTIVOS Y LA FINANCIACIÓN DE OTROS DELITOS EN EL MERCADO DE VALORES

Los sujetos obligados deberán observar dentro de la estructura del programa para la detección, prevención, mitigación y administración del riesgo del delito de lavado de activos, de la financiación del terrorismo y de la financiación de la proliferación de armas de destrucción masiva además de lo dispuesto por la Junta de Política y Regulación Financiera y Monetaria lo siguiente:

1. 1. Dentro de la etapa de identificación, el sujeto obligado financiero deberá incluir en su metodología, lo siguiente:

   1. a) Los factores de riesgos que se puedan presentar en las operaciones y transacciones, comerciales y contractuales que efectúan las contrapartes, para identificar la probabilidad de ocurrencia del riesgo de Lavado de Activos y la Financiación de Otros Delitos; medir el grado de impacto del riesgo en el sujeto obligado financiero; e identificar el riesgo asociado, sea este reputacional, legal, operativo o de contagio.

   2. b) El análisis del riesgo inherente, su impacto y los eventos que lo determinan, ya sea de forma individual o combinada. Para ello, se deben evaluar sus causas y consecuencias, definiendo el conjunto de eventos de lavado de activos y la financiación de otros delitos, a los que la compañía podría estar expuesta. Este análisis debe contemplar cada uno de los factores de riesgo inherentes a la actividad que realiza la empresa (clientes, productos o servicios, canales y jurisdicción, entre otros), los que se explican en el siguiente artículo.

   3. c) Asimismo, para una correcta identificación, de la metodología deberá además contemplar el reconocimiento de las tipologías y señales de alerta a través de las cuales se materializan estos riesgos.

2. 2. Dentro de la etapa de medición o evaluación, para medir el riesgo de lavado de activos y la financiación de otros delitos, los sujetos obligados deberán contemplar la evaluación de riesgo inherente, la eficacia de los controles aplicados hasta determinar el riesgo residual, que será el riesgo final al que estará expuesta la compañía, debiendo considerar lo siguiente:

   1. a) Para la medición del riesgo inherente, se evaluará la probabilidad y el impacto de cada riesgo, aplicando las siguientes escalas:

      ESCALA DE PROBABILIDAD

      Escala	Nivel	Descripción	Frecuencia Esperada	Criterios Cuantitativos
      1	Muy Poco Probable	Fuente de riesgo con capacidad muy baja y/o poca intención. Sin registro de incidentes en los últimos 3 años.	1 vez cada 3 años o más	Probabilidad Menor o Igual 5%
      2	Poco Probable	Fuente de riesgo con capacidad baja. Se registran muy pocos incidentes aislados sin patrón identificable.	1 vez entre 2 y 3 años	Probabilidad Mayor 5% - 15%
      3	Posible	Fuente de riesgo con mediana capacidad e intención. Se registran algunos incidentes con cierta regularidad.	1 vez entre 1 y 2 años	Probabilidad Mayor 15% - 40%
      4	Probable	Fuente de riesgo con alta capacidad e intención. Se han presentado incidentes de forma no recurrente pero significativa.	1 o 2 veces entre 6 meses y 1 año	Probabilidad Mayor 40% - 70%
      5	Muy Probable	Fuente de riesgo con muy alta capacidad e intención. Se han presentado incidentes de forma recurrente y sistemática.	1 vez cada 6 meses o menos (mensual/trimestral)	Probabilidad Mayor 70%

      ESCALA DE IMPACTO

      Escala	Nivel	Descripción	Criterios Específicos
      1	Insignificante	Impacto mínimo o casi nulo. Puede ser asumido por el sujeto obligado financiero sin afectación material.	• Determinar el Riesgo Asociado (Legal, Reputación, Contagio y Operativo). • Aplicación de control.
      2	Bajo	Impacto limitado para el sujeto obligado financiero. Impacto legal menor que afecta procesos específicos sin comprometer la continuidad.	• Determinar el Riesgo Asociado (Legal, Reputación, Contagio y Operativo) • Aplicación de control y proceder con las observaciones regulatorias menores
      3	Medio	Impacto moderado para la operatividad y/o imagen del sujeto obligado financiero. Afecta la continuidad de procesos críticos.	• Determinar el Riesgo Asociado (Legal, Reputación, Contagio y Operativo) • Aplicación de control y sanciones regulatorias moderadas
      4	Alto	Alto impacto para personas, operatividad, Afectación significativa a imagen, reputación y continuidad del negocio.	• Determinar el Riesgo Asociado (Legal, Reputación, Contagio y Operativo) • Aplicación de control y sanciones regulatorias graves
      5	Catastrófico	Impacto crítico para la estructura orgánica funcional. Compromete la viabilidad y continuidad del negocio.	• Determinar el Riesgo Asociado (Legal, Reputación, Contagio y Operativo) • Aplicación de control y sanciones que impiden operación.

   2. b) La calificación final del riesgo inherente, se determinará mediante la combinación del Impacto por la probabilidad, considerando la siguiente tabla:

      Probabilidad	Impacto: Insignificante (1)	Impacto: Bajo (2)	Impacto: Medio (3)	Impacto: Alto (4)	Impacto: Catastrófico (5)
      Muy Poco Probable (1)	Muy Bajo	Muy Bajo	Bajo	Medio	Alto
      Poco Probable (2)	Muy Bajo	Bajo	Medio	Alto	Alto
      Posible (3)	Bajo	Medio	Alto	Alto	Muy Alto
      Probable (4)	Medio	Alto	Alto	Muy Alto	Muy Alto
      Muy Probable (5)	Alto	Alto	Muy Alto	Muy Alto	Crítico

3. 3. En la etapa de control y mitigación, los sujetos obligados deberán proveer un sistema, efectivo, eficiente y oportuno de reportes, que garantice el cumplimiento de los requerimientos de la Superintendencia de Compañías, Valores y Seguros o de la Unidad de Análisis Financiero y Económico.

   Los controles son todas aquellas políticas, actividades y procedimientos desarrollados en la organización para mitigar los riesgos adversos y asegurar el cumplimiento de lo previsto en el artículo 11 sección III del Capítulo I del Título V de la Codificación de Resoluciones Monetarias, Financieras, de Valores y Seguros.

   En esta etapa además deberá detectar operaciones inusuales o sospechosas.

   La aplicación de los controles se debe aplicar en todas las etapas de los procesos identificados.

4. 4. En la etapa de monitoreo y administración, los sujetos obligados deben observar lo previsto por la Junta de Política Regulación Financiera y Monetaria en cuanto al monitoreo de los riesgos. Los controles se calificarán de acuerdo con su naturaleza, frecuencia y nivel de automatización para medir su comportamiento durante la implementación.

   Categoría	Tipo de Control	Descripción
   Naturaleza	Preventivo	Se aplica sobre la causa del riesgo para reducir su probabilidad de ocurrencia.
   Naturaleza	Detectivo	Actúa como señal de alerta frente a un escenario inusual o no común.
   Naturaleza	Correctivo	Se aplica durante el proceso para corregir errores o deficiencias identificadas en el sistema.
   Frecuencia	Permanente	Se aplica de manera continua en cada operación o transacción.
   Frecuencia	Periódico	Se ejecuta una vez que ha transcurrido un lapso de tiempo previamente definido.
   Frecuencia	Ocasional	Se implementa de forma esporádica según la necesidad específica de un proceso.
   Automatización	Automático	Se ejecuta a través de sistemas tecnológicos sin necesidad de intervención humana.
   Automatización	Semiautomático	Combina la validación del sistema con la intervención o confirmación humana.
   Automatización	Manual	Depende íntegramente de la ejecución y verificación humana.

   Los sujetos obligados observaran la siguiente clasificación, en atención a la madurez dentro de la compañía:

   1. a) Implementado: El control requerido existe, se aplica y funciona correctamente.

   2. b) En desarrollo: el control existe o está en fase de implementación, pero aún no surte los efectos requeridos.

   3. c) No existe: el control no se ha diseñado. ni implementado frente a un riesgo identificado.

      Igualmente, al desarrollar los reportes que permiten determinar la evolución del riesgo, y su eficiencia, el sujeto obligado financiero utilizará la siguiente escala para determinar la solidez de sus medidas, como ejemplo se indica la siguiente valoración: fuerte, moderado, débil, deficiente. Igualmente, una vez evaluado el riesgo, la compañía debe definir una de las siguientes estrategias de tratamiento frente a los riesgos de lavado de activos y la financiación de otros delitos identificados:

   4. a) Evitar el riesgo: El sujeto obligado financiero decide no realizar o suspender la actividad comercial que genera la exposición, ya sea porque las medidas no logran reducir el riesgo a un nivel "aceptable" o por el alto costo operativo de los controles.

   5. b) Reducir el riesgo: Se adoptan políticas, procedimientos y medidas de control orientadas a disminuir la probabilidad de ocurrencia o minimizar el impacto del riesgo hasta alcanzar un nivel aceptable.

   6. c) Aceptar el riesgo: La compañía asume el riesgo asociado, aplicable únicamente cuando el riesgo inicial es bajo o cuando el riesgo residual (después del tratamiento) se encuentra en niveles aceptables.

   7. d) Reportar: Envío de un Reporte de Operaciones Sospechosas (ROS) a la autoridad competente ante la materialización o sospecha fundada de un evento.

      La administración de los riesgos de cada sujeto obligado financiero es intransferible, dada la responsabilidad legal e indelegable del sujeto obligado financiero.

      Las medidas para el tratamiento y determinación de controles que se podrán considerar son las siguientes:

      Riesgo Muy Alto/Crítico:	Evitar: Suspender actividad o relación comercial
      Riesgo Muy Alto/Crítico:	Reducir: Implementar controles adicionales reforzados
      Riesgo Muy Alto/Crítico:	Reportar: Posible reporte ROS.
      Riesgo Alto:	Reducir: Controles específicos y monitoreo intensivo
      Riesgo Alto:	Reportar: Posible reporte ROS.
      Riesgo Medio:	Reducir: Controles establecidos y monitoreo regular
      Riesgo Medio:	Aceptar: Con controles de seguimiento
      Riesgo Bajo/Muy Bajo:	Aceptar: Con controles mínimos de monitoreo

   8. a) Para la correcta comunicación y el respaldo de las acciones tomadas en la gestión de riesgos, el sistema debe proveer la documentación y los registros correspondientes a todas sus etapas y elementos. Esto tiene como fin garantizar la integridad, oportunidad, confiabilidad y disponibilidad de la información en todo momento.

   9. b) Se debe incluir en el plan de capacitación anual el sistema de administración de riesgos de lavado de activos y la financiación de otros delitos. Su propósito es asegurar que los responsables de los procesos conozcan sus obligaciones y responsabilidades, brindándoles las herramientas necesarias para la eficaz implementación y cumplimiento del sistema.

   10. c) Se deben definir, documentar y comunicar los procedimientos para imponer sanciones frente a cualquier incumplimiento en la aplicación de los controles establecidos.

       En esta etapa además de los establecido por el regulador del mercado de valores los sujetos obligados realizarán un seguimiento general a todos los componentes y etapas del sistema; desarrollarán procesos de revisión efectivos que faciliten la rápida identificación y corrección de las deficiencias encontradas; garantizarán que los controles implementados sean coherentes con los riesgos identificados y comprobar que se estén ejecutando de manera efectiva; y, gestionarán el monitoreo a través de sistemas o herramientas tecnológicas.

       Aquellos sujetos obligados que, por su estructura o volumen de transacciones y operaciones, lo requieran, podrán apoyarse en este tipo de soluciones, siempre que se enmarquen en lo establecido en el artículo 50 de la presente norma.