Art. 12

los auditores externos al menos deberán verificar en su revisión lo siguiente: 12 De las políticas de identificación y verificación del cliente del sujeto obligado. a) Verificar que el manual de prevención de lavado de activos, financiamiento del terrorismo y otros delitos cuente con los criterios, de medición, verificación y procedimientos internos para identificar a clientes, con base a los productos y servicios que ofrece el sujeto obligado. En su revisión el auditor externo deberá evaluar e indicar si el contenido y aplicación del manual de prevención de lavado de activos, financiamiento del terrorismo y otros delitos es adecuado para los servicios, productos que brinda el sujeto obligado, si fue aprobado por la junta general de accionistas o sus actualizaciones de ser el caso. b) Verificar que se haya identificado al cliente de acuerdo al perfil de riesgos establecido, características, tipo, requisitos conforme a las normas de prevención de lavado de activos, financiamiento del terrorismo y otros delitos y el manual del sujeto obligado. El auditor externo revisará los expedientes de identificación de los clientes, utilizando para el efecto métodos de muestreo para obtener una muestra representativa, y determinará si los datos de identificación que exhiba el sujeto obligado (documentos impresos, capturas de pantalla, etc.) y toda la evidencia de la debida diligencia efectuada contenga fechas claras y legibles, y se enmarquen dentro de lo establecido en la política conoce tu cliente de las normas prevención de lavado de activos, financiamiento del terrorismo y otros delitos y su manual. Adicionalmente el auditor externo deberá considerar la verificación con el grado de riesgo del cliente, considerando como mínimo los niveles bajo, medio y alto o muy alto, según el caso e incluir el resultado en el informe. El auditor externo en su informe explicará los criterios de selección de muestra e indicará el número de registro de expedientes que forman parte de la muestra y el porcentaje que representa el total de los registros o expedientes de clientes con el que cuenta el sujeto obligado, así como datos y documentos faltantes en los expedientes o registro. De la muestra de clientes tomada el 50% será aquellos que se encuentren en un nivel de riesgo de alto y muy alto, el 25% riesgo medio y el otro 25% riesgo bajo. c) Revelar si el sujeto obligado cuenta con políticas, criterios, control y procedimientos para verificar los expedientes de identificación al cliente de acuerdo con el nivel de riesgos asignado, y/o cuenta con procedimientos para reclasificar de acuerdo al riesgo que corresponde, en el caso de que el oficial de cumplimiento detecte cambios significativos en el perfil económico y transaccional de los clientes. El auditor debe revelar si las políticas, criterios, controles y procedimientos a que se refiere este párrafo son implementados conforme lo describe en su manual de prevención de lavado de activos, financiamiento del terrorismo y otros delitos. Además mencionará si los expedientes están debidamente resguardados y si cumplen con la reserva y confidencialidad. 12.1 Metodología con enfoque basado en riesgos, el contenido de la misma, al menos debe contener lo siguiente: En la valoración de riesgos deberán al menos determinar y revelar en su informe, si el sujeto obligado ha realizado lo siguiente: a) Identificación, evaluación y categorización de riesgos y medidas idóneas para su mitigación. b) Segmentación de clientes, acorde al riesgo identificado. c) Indicar si es adecuado el sistema de gestión de riesgos, así como verificar y opinar sobre: factores de riesgos, riesgos inherentes, mitigación de riesgos, riesgos residuales. d) Valoración de la autoevaluación de riesgos de lavado de activos y financiamiento del terrorismo, declaración de tolerancia al riesgo del lavado de activos y del financiamiento del terrorismo y política de aceptación de clientes. e) Constatar si el sujeto obligado implementó su metodología y evaluación de riesgos, y verificó que no hay inconsistencias entre la información que alimenta la matriz de riesgos y la que refleja en sus sistemas sean automatizados o manuales, y si utilizó la información total de sus clientes, del total de sus operaciones correspondiente a un período, no menor a doce meses. 12.2 De las Políticas del conocimiento de cliente, mismas que al menos deberá verificar y considerar lo siguiente: a) Cumplimiento de la política de identificación y conocimiento del cliente: a.1. Control sobre el cumplimiento de los requisitos de identificación y conocimiento del cliente en base al riesgo asociado. a.2. Procedimientos de debida diligencia, modificación de riesgos asociados, señales de alertas y control de la efectividad de los mismos. a.3. Procedimientos establecidos para determinar la debida diligencia ampliada y simplificada de acuerdo a riesgos. a.4. Procedimientos para abstenerse de realizar o continuar con las operaciones y/o transacciones comerciales, conforme a normativa. a.5. De los beneficiarios finales, se establecen procedimientos para determinarlos, conforme a norma vigente. a.6. De las listas restrictivas de la Organización de las Naciones Unidas (ONU), Office of Foreign Assets Control ("OFAC"), sentenciados nacionales y otras), se verifican de acuerdo al riesgo y si están actualizadas. b) Verificar si el sujeto obligado realizó operaciones con clientes de alto riesgo, y que éstas hayan sido aprobadas por la alta gerencia, en caso que aplique, conforme lo dispone la normativa de prevención de lavado de activos, financiamiento del terrorismo y otros delitos y se aplicaron conforme procedimientos indicados en el manual prevención de lavado de activos, financiamiento del terrorismo y otros delitos. c) Verificar si el sujeto obligado cuenta con procedimientos para identificar número, monto, frecuencia de las operaciones que realiza con sus clientes. 12.3 Reportes remitidos a la Unidad de Análisis Financiero y Económico (UAFE), el auditor externo, deberá al menos verificar lo siguiente: a) Del período revisado: indicar si el sujeto obligado presentó dentro del plazo legal establecido y de acuerdo a los procedimientos establecidos por la Unidad de Análisis Financiero y Económico (UAFE) los reportes de operaciones y transacciones que igualen o superen el umbral legal establecido (RESU). El auditor deberá indicar si los reportes incluyeron todas las operaciones y/o transacciones que registra el sujeto obligado, considerar muestras de clientes de al menos 5 meses del período analizado. b) Verificar en los sectores de mercado de valores, seguros y reaseguros, si el sujeto obligado mantiene estadísticas de los reportes de operaciones sospechosas (ROS) y reportes de operaciones y transacciones que igualen o superen el umbral legal establecido (RESU) enviados durante el período, identificando la cantidad de reportes enviados por mes dentro del año auditado. c) Verificar si el sujeto obligado, presentó a tiempo y en forma adecuada los reportes que establece la Ley Orgánica de Prevención, Detección y Erradicación del Delito de Lavado de Activos y del Financiamiento de Delitos, como son: reportes de operaciones y transacciones que igualen o superen el umbral legal establecido (RESU), reportes de operaciones sospechosas (ROS), reportes de información adicional (RIA), pedidos de la Superintendencia Compañías, Valores y Seguros, y siguieron los procedimientos establecidos en el manual de prevención de lavado de activos, financiamiento del terrorismo y otros delitos. El auditor externo, revelará en su informe si el sujeto obligado omitió reportar, o si lo hizo fuera de plazo conforme las disposiciones legales establecidas, y las que en su opinión pudieran contravenir a estas. Así mismo revelará si el oficial de cumplimiento reportó en línea y sino tiene soportes de los mismos, de ser el caso. 12.4 Estructura interna del sujeto obligado El auditor deberá verificar lo siguiente: a) Si el Comité o Unidad de cumplimiento, en caso que aplique, se encuentra integrado de conformidad con las disposiciones establecidas en el manual de prevención de lavado de activos, financiamiento del terrorismo y otros delitos. En caso de no tener comité o unidad de cumplimiento, indicar si el sujeto obligado cumple con las excepciones establecidas para no constituir el mismo. b) Verificar si el comité de cumplimiento, se ha reunido conforme lo dispone la normativa aplicable al sector. c) Verificar si el comité de cumplimiento, ha emitido los informes correspondientes conforme lo dispone la normativa del sector. d) Verificar si el oficial de cumplimiento es independiente de las demás áreas del sujeto obligado, y si cuenta con nivel gerencial. 12.5 Capacitación y difusión. El auditor deberá verificar lo siguiente: a) Que el sujeto obligado cuenta con el programa anual de capacitación. Revisar si los temas de capacitación son coherentes con los resultados de la implementación de la evaluación de riesgos y si son en función a las responsabilidades de los miembros del sujeto obligado de acuerdo a sus funciones. b) Que el oficial de cumplimiento realizó capacitaciones a los miembros del sujeto obligado. c) Que el oficial de cumplimiento hizo difusión de información de métodos, técnicas, procedimientos, señal de alertas para prevenir, detectar y reportar operaciones inusuales injustificadas o sospechosas de lavado de activos y del financiamiento del terrorismo y otros delitos. d) Que el oficial de cumplimiento dejó constancia de los asistentes a las capacitaciones, entrega de manual de prevención de lavado de activos, financiamiento del terrorismo y otros delitos, entrega de certificados, considerando fecha y hora, para su informe anual. 12.6 Infraestructura tecnológica Verificar en el caso de mercado de valores y seguros: Si el Sujeto obligado cuenta con sistemas automatizados para desarrollar sus funciones de acuerdo a las disposiciones legales establecidas y citadas en el manual de prevención de lavado de activos, financiamiento del terrorismo y otros delitos, así mismo verificó los sistemas que utiliza para desarrollar sus funciones. El auditor deberá describirlas. En el caso del sector societario: Revisar que el sujeto obligado cuente con sistemas automatizados o manuales para desarrollar sus funciones de acuerdo a las disposiciones legales establecidas y citadas en el manual de prevención de lavado de activos y del financiamiento del terrorismo, así mismo verificará los sistemas que utiliza para desarrollar sus funciones. El auditor deberá describirlas. 12.7 Empleados y colaboradores El auditor deberá verificar al menos lo siguiente: a) Que el sujeto obligado cuente con procedimientos para la selección, en el caso que aplique, de empleados, conforme lo dispone el manual de prevención de lavado de activos, financiamiento del terrorismo y otros delitos. El auditor deberá indicar el procedimiento. b) Que el sujeto obligado cuente con expedientes individualizados por empleados e indicar si estos se establecen conforme procedimiento establecido en el manual de prevención de lavado de activos, financiamiento de terrorismo y otros delitos. c) Que el sujeto obligado disponga de respaldos, y evidencien de que los empleados han recibido capacitación en temas de prevención de lavado de activos, financiamiento del terrorismo y otros delitos. 12.8 Proveedores El auditor deberá verificar lo siguiente: a) Que aplicó la matriz de riesgos correspondiente y si la política del debido conocimiento de proveedores, es la adecuada conforme a la norma que corresponde al sector que audite. b) Que observa que el sujeto obligado a través de sus responsables verifica información, conforme a normativa. c) Que conserva y mantiene adecuadamente los expedientes de los proveedores que brinden productos y /o servicios, en relación al giro del negocio del sujeto obligado. 12.9 Conservación de la información El auditor externo deberá verificar lo siguiente: a) Que el sujeto obligado cuente con mecanismos adecuados para conservar la información no menor a diez años de acuerdo a la regulación vigente, se encuentran sea de forma física o digital, y si en los expedientes de clientes debidamente identificados, se conserva toda la información en relación a temas de la materia. b) Que conserva la información generada de los procesos de debida diligencia en materia de prevención de lavado de activos, financiamiento del terrorismo y otros delitos conforme a las disposiciones establecidas. 12.10 Información que deben remitir anualmente a la SCVS De acuerdo al sector y a la normativa vigente; el auditor deberá pronunciarse si las compañías remiten el detalle de información que dispone la norma societaria respecto a las empresas con actividades de transferencia de dinero (remesas) y a las compañías dedicadas a la comercialización de vehículos e inmuebles a través de compras programadas, entre otras. 12.11 Cumplimiento de normativa y manual La evaluación de cada una de las obligaciones que se tratan en los numerales 12.1 a 12.10, se realizarán considerando los siguientes criterios: 1. Cumple: Cuando en la revisión se demostró eficacia en el cumplimiento de las obligaciones. El auditor evaluará como cumplido cuando la eficacia sea demostrada con el cumplimiento de las obligaciones previstas en la normativa de cada sector y manual de prevención de lavado de activos, financiamiento del terrorismo y otros delitos. 2. Mayoritariamente cumplido: Cuando no se demuestra completamente la eficacia con el cumplimiento de las obligaciones. Aquí el auditor deberá incluir al menos una recomendación de mejora, y hallazgos, los que tienen que ser identificados dentro de su evaluación. 3. Cumple parcialmente: Al no poder demostrar con eficacia el cumplimiento de las obligaciones previstas en la normativa, por no tener evidencia objetiva que le ayude a determinar la eficacia. El auditor debe incluir al menos un hallazgo, y una o más recomendaciones de mejoras, mismos que tienen que estar identificados en la obligación evaluada. 4. No cumple: El sujeto obligado no cumple ni cubre los elementos necesarios de la normativa y manual en materia, o se trata de incumplimientos evidentes que deberá revelarlos como tal. El auditor tendrá que indicar al menos dos hallazgo de los cuales deberán ser identificados en su evaluación. 5. No aplica: Por las características, estructura del sujeto obligado, lo cual debe ser verificado por el auditor para determinar si la exclusión del requisito no corresponde a incumplimiento y deberá ser consistente con el análisis de riesgo elaborado por el auditor. 12.12 Asuntos claves en auditoría El auditor puede desarrollar una sección que describa con claridad, los aspectos, condiciones o información relevante o de mayor significatividad que consideró u observó en el momento de realizar la auditoría del sujeto obligado. El auditor considerará lo que es relevante o de mayor significatividad, cuando haya conocido u observado que las medidas adoptadas no son acordes a los productos/servicios u operaciones que brinda el sujeto obligado; cuando en sus hallazgos determine infracción grave, de acuerdo a la Ley o al Proceso Administrativo Sancionador de la Superintendencia de Compañías, Valores y Seguros; o, cuando detecte irregularidades auspiciadas por el oficial o unidad de cumplimiento, directivos, accionistas o empleados, que pudiera vulnerar el sistema de prevención de lavado de activos y financiamiento del terrorismo. 12.13 Hallazgos, acciones correctivas y recomendaciones El informe de auditoría de prevención de lavado de activos, financiamiento del terrorismo y otros delitos, debe contener una sección que incluyan los hallazgos, acción de corrección, recomendaciones y mejoras que a juicio profesional del auditor los exponga para que el sujeto obligado pueda cumplir adecuadamente con las regulaciones en temas de prevención de lavado de activos, financiamiento del terrorismo y otros delitos. Adicionalmente, deberá expresar si el sujeto obligado cumplió con los hallazgos y acciones correctivas reveladas en el Informe de auditoría del año inmediato anterior de ser el caso. También el auditor revelará, si ha cumplido con los requerimientos o superado las observaciones, plan de acción, o planes remediales dados por el organismo de control, del año inmediato anterior, en caso de que hubiera.