Politica de Sagrilaft 

2. OBJETIVO DEL MANUAL 

El presente Manual del Sistema de Autocontrol y Gestión de Riesgo Integral de LA/FT/FPADM (el “Manual SAGRILAFT” o simplemente el “Manual”) tiene como objetivo definir los criterios y procedimientos que aplica la Compañía para prevenir y gestionar los riesgos de LA/FT/FPADM en el desarrollo de cualquiera de las actividades comprendidas dentro de su objeto social y en particular, se busca prevenir que la Compañía sea usada como medio para dar apariencia de legalidad a dineros provenientes de actividades delictivas o con destino a éstas. 

Por otra parte, este manual sirve de carta de presentación ante los grupos de interés que requieran conocer cómo maneja la Compañía el riesgo de LA/FT/FPADM al que se encuentra expuesta.  

Son objetivos del Sistema de Autocontrol y Gestión del Riesgo integral de LA/FT/FPADM (SAGRILAFT), los siguientes: 

Cumplir con la normatividad vigente en materia de autocontrol y gestión del riesgo integral de LA/FT/FPADM. 

3. MARCO NORMATIVO 

A continuación, se describe el marco normativo aplicable a Epayco en materia de prevención y gestión del riesgo de LA/FT/FPADM: 

1. General 

• Ley 1121 de 2006. Establece que la Compañía debe realizar un reporte a la UIAF cuando tenga conocimiento de la presencia o tránsito de una persona incluida en una de las listas internacionales vinculantes para Colombia de conformidad con el derecho internacional. En este sentido, la Compañía deberá realizar consultas periódicas en la lista emitida por el Consejo de Seguridad de la Naciones Unidas (ONU) y las listas de terroristas de Estados Unidos y la Unión Europea de acuerdo con el Consejo de Seguridad Nacional (Acta del 17 de enero de 2020), frente a las personas con las cuales mantiene cualquier tipo de vínculo. 

• Ley 1708 de 2014 – Código de Extinción de Dominio. De acuerdo con el artículo 119, la Compañía tiene la obligación de informar a la Fiscalía General de la Nación sobre la existencia de bienes que haya detectado en desarrollo de sus actividades y que pueden ser objeto de la acción de extinción de dominio.  

De igual forma, el artículo 7 impone a la Compañía una carga de actuar con buena fe exenta de culpa para que en caso de tener que comparecer a un proceso de extinción de dominio pueda demostrar que actuó con diligencia y prudencia, y de esta forma ejercer su derecho a la defensa. 

• Código Penal Colombiano. Artículo 441. La Compañía tiene la obligación de denunciar a la autoridad competente cuando tenga conocimiento de la realización de los delitos de LA/FT/FPADM, entre otros. La omisión de esta denuncia dará lugar a una sanción penal respecto de la persona que teniendo el conocimiento del cometimiento del delito no lo denunció.  

• Decreto 830 de 2021: Por el cual se adicionan algunos artículos al Decreto 1081 de 2015 relacionados con el régimen de las Personas Expuestas Política PEP, incluyendo las PEP Extranjeras y PEP de Organizaciones Internacionales. 

2. Especifico 

Circular Básica Jurídica, Capítulo X, Autocontrol y Gestión del Riesgo LA/FT/FPADM y reporte de operaciones sospechosas a la UIAF, de la Superintendencia de Sociedades, Instruye a las empresas sujetas a la vigilancia permanente o al control que ejerce la Superintendencia de Sociedades y que al 31 de diciembre del año inmediatamente anterior, hubieren obtenido ingresos o activos totales iguales o superiores a 40.000SMLMV para que diseñen e implementen un sistema de autocontrol y gestión del riesgo de LA/FT/FPADM que tiene como objetivo principal minimizar la posibilidad que a través de las distintas actividades que llevan a cabo la Compañía  se introduzcan recursos provenientes de Lavado de Activos o que los recursos de éstas tengan como destino la Financiación del Terrorismo y/o el financiamiento de la proliferación de armas de destrucción masiva.  El plazo de cumplimiento para poner en marcha el sistema, es de doce meses, contado a partir del primero de enero del año siguiente a aquel en que se cumplan los requisitos establecidos. 

4. AMBITO DE APLICACIÓN  

El presente documento está dirigido a los accionistas, administradores, empleados directos o indirectos y demás terceros que establezcan algún tipo de relación con la Compañía. 

5. OBJETIVOS DEL SISTEMA 

El sistema de autocontrol y gestión del riesgo de LA/FT/FPADM que adopta la compañía, tiene como objetivos los siguientes: 

• No permitir el ingreso a La Compañía de personas con algún vínculo de lavado de activos o financiación del terrorismo como contraparte. 

• No recibir en las transacciones que realicen La Compañía activos de origen ilícito. 

• No permitir que La Compañía sean utilizadas en ninguna circunstancia como instrumento para lavar activos o financiar al terrorismo. 

Que La Compañía no sean sancionadas por incumplir o no observar las obligaciones relacionados con la prevención y el control del LA/FT/FPADM. 

6. GLOSARIO 

Sin perjuicio de aquellos términos que se definen a lo largo de las presentes disposiciones, los cuales, podrán estar desarrollados en el presente Glosario, para una mejor comprensión de este Manual, se aplican las siguientes definiciones, que deberán ser interpretadas indistintamente del género en singular o plural: 

Beneficiario Final: Hace referencia a la(s) persona(s) natural(es) que finalmente posee(n) o controla(n) a un cliente o a la persona natural en cuyo nombre se realiza una transacción. Incluye también a la(s) persona(s) que ejerzan el control efectivo y/o final, directa o indirectamente, sobre una persona jurídica u otra estructura sin personería jurídica. Son Beneficiarios Finales de la persona jurídica los siguientes:  

1. Persona natural que, actuando individual o conjuntamente, ejerza control sobre la persona jurídica, en los términos del artículo 2603 y siguientes del Código de Comercio; o  

2. Persona natural que, actuando individual o conjuntamente, sea titular, directa o indirectamente, del cinco por ciento (5%) o más del capital o los derechos de voto de la persona jurídica, y/o se beneficie en un cinco por ciento (5%) o más de los rendimientos, utilidades o Activos de la persona jurídica; 

3. Cuando no se identifique alguna persona natural en los numerales anteriores, la persona natural que ostente el cargo de representante legal, salvo que exista una persona natural que ostente una mayor autoridad en relación con las funciones de gestión o dirección de la persona jurídica. 

Cliente: Es toda persona natural o jurídica con la cual la Compañía establece una relación contractual o legal, para la venta de servicios de Epayco. 

Contraparte: Hace referencia a cualquier persona natural o jurídica con la que la Compañía tenga vínculos civiles, comerciales, de negocios, contractuales o jurídicos de cualquier orden. Hacen parte de las Contrapartes, los Clientes, Empleados, Proveedores, Asociados y demás terceros que tengan vínculos con la Compañía. 

Para efectos del presente Manual se tendrán en cuenta los siguientes Factores de Riesgo: 

1. Contraparte: Hace referencia a cualquier persona natural o jurídica con la que la Compañía tenga vínculos civiles, comerciales, de negocios, contractuales o jurídicos de cualquier orden. Hacen parte de las Contrapartes, los Clientes, Empleados, Proveedores, Asociados y demás terceros que tengan vínculos con la Compañía. 

2. Servicios: Son las asistencias que provee, comercializa, u ofrece la Compañía o adquiere de un tercero. 

3. Canales de distribución: Medios que utiliza Epayco para ofrecer y comercializar sus servicios. 

4. Jurisdicción territorial: Zonas geográficas identificadas como expuestas al riesgo LA/FT/FPADM en donde la Compañía comercializase u ofrece sus servicios o Zonas geográficas en donde se ubican sus clientes. 

• La lista del Consejo de Seguridad de las Naciones Unidas (ONU), relativa a las personas físicas y Entidades miembros de los Talibanes, de la Organización AL-QAIDA o asociados con ellos, que conforme al derecho internacional es la única Lista Vinculante para Colombia. 

• La lista de la Oficina de Control de Activos Extranjeros del Gobierno de los Estados Unidos (OFAC por sus siglas en inglés), quién publica periódicamente la Lista de ciudadanos especialmente designados (SDN por sus siglas en inglés), en la que se enlistan individuos y organizaciones relacionadas con el delito de narcotráfico, con quienes las personas de los Estados Unidos y quienes tienen intereses en ese país tienen prohibido hacer negocios.  

• La lista de INTERPOL, relativa a las personas más buscadas por la justicia del mundo. 

A nivel nacional, entre otras, se cuenta con: 

• La lista de la Contraloría General de la Nación, relativa a las personas que han tenido relaciones contractuales con ese organismo y han sido sancionados, más conocida como el boletín de responsables fiscales. 

• La base de datos de la Procuraduría General de la Nación, relativa a los antecedentes disciplinarios de las personas. 

• La lista colombiana de organizaciones terroristas, relativa a la transcripción de la lista de organizaciones terroristas de Estados Unidos y la Unión Europea. 

• Riesgo Legal: Es la posibilidad de pérdida o daño en que incurre la Compañía, los accionistas, sus Administradores o cualquier otra persona vinculada, al ser sancionada, multada u obligada a indemnizar daños como resultado del incumplimiento de normas o regulaciones relacionadas con la prevención de LA/FT/FPADM y obligaciones contractuales. Surge también como consecuencia de fallas en los contratos y transacciones, derivadas de actuaciones malintencionadas, negligencia o actos involuntarios que afectan la formalización o ejecución de contratos o transacciones.  

• Riesgo Reputacional: Es la posibilidad de pérdida o daño en que incurre la Compañía, por desprestigio, mala imagen, publicidad negativa cierta o no, respecto de la institución y sus prácticas de negocios, que cause pérdida de clientes, disminución de ingresos o vinculación a procesos judiciales.  

• Riesgo Operacional: Es la posibilidad que tiene la Compañía, de ser utilizada en actividades de LA/FT/FPADM por deficiencias, fallas o inadecuaciones, en el recurso humano, los procesos, la tecnología, la infraestructura o por la ocurrencia de acontecimientos externos. Esta definición incluye el Riesgo Legal y el Riesgo Reputacional, asociados a tales factores. 

• Riesgo de Contagio: Es la posibilidad de pérdida que puede sufrir la Compañía, directa o indirectamente, por una acción o experiencia de un Cliente, Empleado, proveedor, asociado o relacionado, vinculado con los delitos de LA/FT/FPADM. El relacionado o asociado incluye personas naturales o jurídicas que tienen posibilidad de ejercer influencia sobre la Compañía. 

7. POLÍTICAS DEL SISTEMA DE AUTOCONTROL Y GESTION DEL RIESGO LA/FT/FPADM 

7.1 Generales 

• Epayco rechaza cualquier actividad delictiva o conducta ilícita, especialmente si esto implica actividades de LA/FT/FPADM en las que se utilice a la Compañía o sus activos. Por lo anterior, se establece que el cumplimiento de las metas comerciales de Epayco estará siempre supeditado al estricto cumplimiento de las normas de autocontrol y gestión del riesgo integral de LA/FT/FPADM. 

• Todas las operaciones, negocios y contratos que adelante Epayco con clientes, empleados, proveedores y asociados, deben ajustarse a las políticas y procedimientos dispuestos en el presente Manual y demás normas internas de la Compañía. 

• El SAGRILAFT de la Compañía tiene en cuenta los riesgos propios y la materialidad relacionada con LA/FT/FPADM, para lo cual se ha analizado el negocio, la operación, el tamaño y las áreas geográficas donde Epayco desarrolla su objeto social, así como otras características particulares. 

7.2 Específicas 

7.2.1 Políticas frente a los elementos del sistema 

• Diseño y aprobación: La Compañía diseñará el SAGRILAFT, de acuerdo con la política general y haciendo uso de las medidas operativas, económicas, físicas, tecnológicas y de recursos que se han dispuesto para ello. El SAGRILAFT será presentado por el Representante Legal y el Oficial de Cumplimiento a la Asamblea General de Accionistas para su aprobación, actividad que constará en el acta de la reunión en que se lleve a cabo. 

• Auditoría y Cumplimiento: El Máximo Órgano Social seleccionará y designará a la persona responsable de la auditoría y verificación del cumplimiento del SAGRILAFT. Igualmente decidirá si selecciona y designa un suplente, quién será responsable en ausencia definitiva o temporal de esta persona, evitando la suspensión de actividades del Oficial de Cumplimiento. El representante legal certificará al Máximo Órgano Social que las personas seleccionadas y designadas cumplen con los requisitos exigidos, y de ello y otros aspectos enviará informe por escrito a la Superintendencia de Sociedades, dentro de los quince (15) días hábiles siguientes a la designación. 

• Divulgación y capacitación: La Compañía establecerá como mecanismo de divulgación de las políticas y procedimientos para la prevención y control de LA/FT/FPADM, el diseño y desarrollo de un programa de capacitación, liderado por el Oficial de Cumplimiento que permitirá la sensibilización y entrenamiento a empleados en el inicio y durante el tiempo que se mantenga la relación contractual, asegurando de esta forma su cumplimiento y el desarrollo de capacidades en las personas para identificar qué es una operación inusual o qué es una operación sospechosa, su contenido y forma en que debe reportarse. La divulgación y capacitación se realizará por lo menos una (1) vez al año y se dejará constancia de su realización.  

El programa contemplará la frecuencia de la capacitación, el alcance, las formas de evaluación y los medios para ejecutarlo.  

El programa de capacitación estará dirigido a terceros cuando la Compañía lo considere procedente. 

• Asignación de funciones a los responsables: El funcionamiento del SAGRILAFT requiere de la participación de todos los empleados. Las funciones y responsabilidades frente al SAGRILAFT son una regla de conducta que orienta la actuación de la Compañía, los empleados, administradores y demás vinculados o partes interesadas. Las medidas de prevención y control que se señalan en las funciones servirán de instrumento a la administración para tomar decisiones informadas y facilitar la mitigación del riesgo integral del LA/FT/FPADM.  La Compañía asignará de forma clara a quién corresponde, las facultades y funciones a través de este manual con el fin de que exista una adecuada interacción de todos los responsables y un adecuado funcionamiento, cumplimiento y efectividad del SAGRILAFT. 

7.2.2 Políticas frente a las etapas del Sistema e identificación de situaciones que pueden generar riesgos y su evaluación. 

• El Oficial de Cumplimiento identificará las situaciones de riesgo de LA/FT/FPADM que según las características particulares de la operación de la Compañía puedan suceder al interior de éstas. Las alertas, los seguimientos y la información interna recopilada, servirán para actualizar y mejorar las situaciones de riesgo de LA/FT/FPADM identificadas. 

La Compañía contará con metodologías para evaluar las situaciones de riesgo, su probabilidad de ocurrencia, el riesgo inherente frente a cada una de las fuentes de riesgo y el impacto en caso de materializarse mediante riesgos asociados7. 

La Compañía diseñará controles que pueden ser preventivos, detectivos o correctivos, con el fin de mitigar el impacto y/o probabilidad de ocurrencia de las situaciones de riesgo identificadas. El seguimiento debe permitir hacer ajustes al sistema de autocontrol y gestión del riesgo de LA/FT/FPADM y tomar decisiones sobre las situaciones de riesgo identificadas. 

El riesgo residual asociado a cada fuente de riesgo y calificado por la Compañía en un nivel alto, debe ser evaluado teniendo presente que la gestión del riesgo LA/FT/FPADM tiene prelación sobre las operaciones que realicen la Compañía. 

• La empresa ejecutará las etapas del SAGRILAFT a través de un proceso de gestión de riesgos que se verá reflejado en una matriz de riesgos. 

Para ello, la Compañía establecerá las metodologías y ejecutará las siguientes etapas: 

• Identificará y realizará una clasificación o segmentación de los factores de riesgo y, con base en esto, identificará los riesgos de LA/FT/FPADM aplicables de acuerdo con las características de Epayco.  

• Realizará una medición o evaluación de la probabilidad e impacto inherentes de los riesgos de LA/FT/FPADM previamente identificados, de manera individual y consolidada frente a los factores de riesgo. 

• Establecerá las medidas razonables, controles y herramientas que permitan la detección de operaciones inusuales y sospechosas con base en los riesgos de LA/FT/FPADM identificados, teniendo en cuenta que, a mayor riesgo, mayor control; con la aplicación de los controles, la Compañía establecerá el perfil de riesgo residual. 

• Finalmente, monitoreará el SAGRILAFT a través de un seguimiento periódico y comparativo del riesgo inherente y el residual, el seguimiento continuo y efectivo que facilite la rápida detección de deficiencias asegurará que los controles sean integrales y se refieran a todos los riesgos, así como que funcionen de manera oportuna, efectiva y eficiente, y asegurará que el riesgo residual se mantenga dentro de los niveles aceptables.  

7.2.3 Debida Diligencia y debida diligencia intensificada 

• Epayco no iniciará o continuará relaciones contractuales y/o comerciales con clientes, empleados, proveedores o asociados que se encuentren registrados en las listas y bases de datos vinculantes para Colombia de acuerdo con la Ley 1121 de 2006 (Resoluciones 1267 de 1999, 1373 de 2001, 1718 y 1714 de 2006 y 2178 de 2014 del Consejo de Seguridad  de las Naciones Unidas), las listas de terroristas de Estados Unidos y la Unión Europea de acuerdo con el Acta del 17 de enero de 2020 del Consejo de Seguridad Nacional o en la lista OFAC denominada “Specially Designated Narcotics Traffickers” “SDNT” o “Lista Clinton”. La coincidencia de contrapartes en otras listas o la existencia de información negativa de carácter público relacionada con LA/FT/FPADM, o con otras actividades ilícitas o irregulares, se considerará un criterio importante para denegar o terminar una relación contractual. 

• Epayco no iniciará relaciones comerciales, legales o contractuales con contrapartes que no hayan sido plenamente identificadas o que se niegan a entregar la información solicitada por la Compañía. 

• Para la vinculación de clientes y proveedores, se garantizará que éstos sean identificados y cumplan un proceso de evaluación mediante el diligenciamiento de un formulario y la entrega de documentación soporte. Aprobado el proceso de vinculación, el cliente o proveedor podrá ser vinculado y registrado como apto para que la Compañía pueda negociar con éste. 

• Las personas naturales que aspiren a desempeñar un cargo en la Compañía o pretendan vincularse como asociados o accionistas de ésta, deberán cumplir con el suministro de los requisitos dispuestos en este Manual SAGRILAFT, a fin de poder contar con la información que permita verificar sus antecedentes.   

• Conocimiento de Accionistas: la Compañía solo admitirá socios o accionistas cuyo origen de los recursos aportados hayan sido previa y satisfactoriamente verificados. 

• La Compañía mantendrá la debida diligencia actualizada y realizará el monitoreo o seguimiento como mínimo una vez cada dos (2) años, a través de una revisión masiva en listas y bases de datos, y con la revisión de las transacciones, cuando esto resulte aplicable.  Para llevar a cabo esta actividad, la Compañía cuenta con una base de datos que le permite consolidar e identificar alertas presentes y futuras. 

• Los procedimientos de debida diligencia en el conocimiento de clientes, empleados, proveedores y asociados son de obligatorio cumplimiento. Por ninguna razón se omitirán controles establecidos en el Manual SAGRILAFT, salvo que exista una justificación razonable y autorización previa del Oficial de Cumplimiento. 

• Epayco verificará y preguntará a su clientes, proveedores, empleados y asociados si tienen la calidad de Personas Expuestas Políticamente (PEP) de acuerdo con el Decreto 830 de 2021. Igualmente, tomará medidas razonables para conocer si las contrapartes tienen la calidad de PEP extranjeras o PEP de organizaciones internacionales.  

En caso de que una contraparte pretenda vincularse a Epayco teniendo la calidad de PEP, deberá surtir el procedimiento de Debida Diligencia Intensificada contemplado en este Manual SAGRILAFT, que comprenderá por lo menos la aprobación de la vinculación por el superior jerárquico que usualmente realiza esta aprobación o por el Oficial de Cumplimiento. 

• Epayco realizará un procedimiento de Debida Diligencia Intensificada para la iniciación de relaciones comerciales y operaciones con personas naturales o jurídicas procedentes de países considerados de mayor riesgo. 

• Se consideran países de mayor riesgo, las jurisdicciones sancionadas por la OFAC8 y las jurisdicciones de mayor riesgo catalogadas por el GAFI9. 

7.2.4 Manejo de dinero en efectivo y activos virtuales 

• Epayco no realiza operaciones en efectivo con clientes o proveedores, por lo que todas las operaciones de intercambio de dinero de la Compañía con estas contrapartes se realizarán a través del sistema financiero, por medio de transferencia o cheque. En caso de que, excepcionalmente, se requiera realizar o recibir pagos en efectivo de clientes o realiza pagos en efectivo a proveedores, se solicitará autorización al Oficial de Cumplimiento para esta operación, cuando este valor sea igual o mayor a los $10.000.000 (Diez millones de pesos COP), quien evaluará si la operación expone a un riesgo de LA/FT/FPADM a la Compañía y las medidas para mitigarlo. 

• Epayco podrá entregar dinero en efectivo a empleados para gastos no recurrentes debidamente justificados mediante factura de venta o documento equivalente. Las operaciones en efectivo que no se ajusten a este lineamiento, requerirán aprobación previa del Oficial de Cumplimiento. 

• Hasta nueva orden de la Asamblea de Accionistas, y aprobación del Oficial de Cumplimiento, Epayco no realizará transacciones con activos virtuales, por lo que no es necesario realizar ninguna identificación adicional de contrapartes que efectúen este tipo de operaciones dentro del proceso de gestión del riesgo. 

7.2.5 Ventas masivas 

• Epayco es una pasarela de pago, por medio de la cual, una persona natural o jurídica, a través de cualquiera de sus modelos (Gateway o Agregador), para efectos de vender sus productos y/o servicios a través de sus páginas web o e-commerce a cambio de una comisión. De acuerdo con el análisis de riesgos realizado por Epayco, se consideran los cuatro factores de riesgo para la identificación de operaciones inusuales y, por ende, son relevantes para la prevención de LA/FT/FPADM. Las operaciones que salen de los parámetros normales requerirán la ejecución del procedimiento de conocimiento del cliente contemplado en el Numeral 7.3: 

7.2.6 Reportes internos sobre monitoreo del SAGRILAFT 

• El Oficial de Cumplimiento, rendirá periódicamente informes a la Asamblea de Accionistas y al Representante Legal con una evaluación y análisis sobre la eficiencia y efectividad del SAGRILAFT y, de ser el caso, proponiendo las mejoras respectivas. Igualmente, demostrará los resultados de su gestión y de la administración de la Compañía en el cumplimiento del SAGRILAFT. 

7.2.7 Reportes internos y externos 

• En el caso de que cualquier empleado o asociado detecte una señal de alerta en los términos de este Manual SAGRILAFT, deberá presentar de forma inmediata un reporte interno de operaciones inusuales al Oficial de Cumplimiento de Epayco. 

• El Oficial de Cumplimiento es el responsable de analizar todas las operaciones inusuales y señales de alerta que detecte en el ejercicio de su cargo, o que sean reportadas por empleados o asociados de la Compañía. En este análisis, comprobará que se realizaron actividades de profundización sobre la señal de alerta y sobre el conocimiento de la contraparte, solicitará información adicional cuando el análisis lo amerite, y determinará si la situación, operación, contrato o negocio, por la característica de la inusualidad, se considera sospechoso y debe ser reportado a la UIAF como Reporte de Operación Sospechosa (ROS). 

• En caso de que transcurra un trimestre sin que Epayco presente un ROS a la UIAF, el Oficial de Cumplimiento procederá a presentar el AROS (Ausencia de ROS) dentro de los diez (10) días calendario siguientes al vencimiento del respectivo trimestre. 

7.2.8 Conservación y manejo de la documentación del sistema 

• La Compañía conservará los documentos y registros relativos al sistema de autocontrol y gestión del riesgo LA/FT/FPADM de conformidad con lo establecido en las normas que regulan la conservación de libros y papeles de comercio.  

En todo caso la Compañía conservará los documentos por el término de diez (10) años y concluido el término citado los documentos pueden ser destruidos, siempre que se cumplan las siguientes condiciones: 

• Que no medie solicitud de entrega de los mismos formulada por autoridad competente. 

• Que se conserven en un medio técnico que garantice su posterior reproducción exacta y la preservación de su valor probatorio. 

• En los casos de fusión, la Compañía absorbente debe garantizar la continuidad en el estricto cumplimiento de esta disposición. 

• En caso de liquidación, corresponde al liquidador adoptar las medidas necesarias para garantizar el archivo y protección de estos documentos. 

• Los reportes internos y externos del SAGRILAFT, así como cualquier resultado o información obtenida durante los procesos de conocimiento de contrapartes se considera información confidencial y no podrán ser comunicados a terceros por fuera de Epayco, salvo que exista previa autorización del Oficial de Cumplimiento.  

• Epayco garantizará la reserva de la información recaudada y reportada en el marco del SAGRILAFT, en particular los ROS remitidos a la UIAF. Bajo ningún motivo se le informará o comunicará a una contraparte, que la Compañía ha presentado o planea presentar un ROS a la UIAF respecto de operaciones con dicha contraparte. 

Solo podrá ser levantada la reserva cuando medie autorización expresa y por escrito de las autoridades competentes, validada previamente por el Oficial de Cumplimiento. 

7.2.9 Sanciones 

• El incumplimiento de un empleado o asociado de las medidas indicadas en estas políticas, o en el Manual SAGRILAFT se considerará como una falta grave y podrá conllevar la aplicación de sanciones disciplinarias internas, la desvinculación o terminación del contrato con Epayco y/o la respectiva denuncia frente a las autoridades correspondientes, según la gravedad de la infracción y el riesgo al que exponga a Epayco. 

• 7.2.10 Política de conflicto de intereses 

• Este tema será tratado conforme lo establece el Código de Ética y Conducta de Epayco10.  

11.  Política de incursión en nuevas actividades o prestación de nuevos servicios  

• Si la Compañía decide incursionar en nuevas actividades, deberán llevar a cabo un análisis de riesgo de LA/FT/FPADM y dejar constancia escrita de dicho análisis. De igual forma, se definirán las actividades de control que se requieran. 

12. Política frente al reporte de operaciones sospechosas 

La Compañía, reportará aquellas operaciones que, por su cuantía, características y demás elementos pudieren calificar como sospechosas.  En este caso no se requiere que la Compañía tengan la certeza de que se trata de una actividad delictiva, ni identificar el tipo penal o que los recursos involucrados provienen de tales actividades. Para el envío del reporte de operación sospechosa a la UIAF, se observarán las instrucciones dadas por dicha Compañía en el Anexo 1 – ROS el cual se encuentra disponible en la página de Internet www.uiaf.gov.co.  Dicho instructivo puede ser modificado o adicionado por la UIAF por lo cual corresponde al Oficial de Cumplimento validar periódicamente si han existido cambios en el mismo. 

8. FUNCIONES Y RESPONSABLES DEL SAGRILAFT 

8.1 Funciones de la Asamblea General de Accionistas. 

La Asamblea General de Accionistas de Epayco, como responsable de la puesta en marcha y efectividad del SAGRILAFT, cuenta con las siguientes funciones específicas: 

1. Designar al Oficial de Cumplimiento responsable del sistema. En caso de considerarlo necesario, podrá designar a un Oficial de Cumplimiento Suplente. 

2. Aprobar las políticas y procedimientos diseñados por el Representante Legal y el Oficial de Cumplimiento de la Compañía, para el sistema de autocontrol y gestión del riesgo LA/FT/FPADM, así como sus actualizaciones. 

3. Aprobar el Manual del SAGRILAFT y sus actualizaciones. 

4. Analizar oportunamente los informes que presente el Oficial de Cumplimiento sobre el funcionamiento del SAGRILAFT, así como las propuestas de correctivos y actualizaciones, tomando decisiones sobre cada uno de los temas allí tratados. 

5. Analizar oportunamente los reportes y solicitudes presentados por el Representante Legal y/o el Oficial de Cumplimiento. 

6. Pronunciarse sobre los informes presentados por la revisoría fiscal o las auditorías interna y externa, que tengan relación con la implementación y el funcionamiento del SAGRILAFT, y hacer el seguimiento a las observaciones o recomendaciones incluidas.  

7. Ordenar y garantizar los recursos económicos, técnicos, logísticos y humanos necesarios para implementar y mantener en funcionamiento el SAGRILAFT, según los requerimientos que para el efecto realice el Oficial de Cumplimiento. 

8. Aprobar los criterios parala vinculación de contrapartes que ostenten la calidad de PEP.  

9. Aprobar relaciones con contrapartes que por las características de su objeto social o sector económico expongan a la Compañía a un mayor riesgo de LA/FT/FPADM. 

10. Establecer pautas y determinar los responsables de realizar auditorías sobre el cumplimiento y efectividad del SAGRILAFT, de manera que ello le permita el cumplimiento de sus funciones. 

11. Verificar que el Oficial de Cumplimiento cuente con la disponibilidad y capacidad necesaria para desarrollar sus funciones.  

12. Constatar que la Compañía, el Oficial de Cumplimiento y el Representante Legal desarrollan las actividades designadas en este manual. 

8.2 Funciones del Representante Legal. 

En adición a las funciones establecidas por otras normas externas o internas, se establecen de manera específica las siguientes, frente al sistema de autocontrol y gestión del riesgo de LA/FT/FPADM:  

1. Designar al Oficial de Cumplimiento responsable del sistema, en el evento de que no exista Asamblea de Accionistas, con la aprobación del máximo órgano social. 

2. Disponer de las medidas operativas, económicas, físicas, tecnológicas y de recursos que sean necesarias y requeridas para que el Oficial de Cumplimiento pueda desarrollar sus labores. 

3. Someter a aprobación de la Asamblea de Accionistas o máximo órgano social y en coordinación con el Oficial de Cumplimiento, la(s) política(s) diseñada(s) y las actualizaciones del Sistema de Autocontrol y Gestión del Riesgo de LA/FT/FPADM, así como al respectivo manual. 

4. Estudiar los resultados de la evaluación del riesgo de LA/FT/FPADM efectuada por el Oficial de Cumplimiento y establecer los planes de acción que correspondan. 

5. Verificar que el Oficial de Cumplimiento cuente con la disponibilidad y capacidad necesaria para desarrollar sus funciones. 

6. Prestar efectivo, eficiente y oportuno apoyo al Oficial de Cumplimiento en el diseño, dirección, supervisión y monitoreo del SAGRILAFT. 

7. Designar la instancia superior que tendrá la decisión final de aceptar contrapartes que ostenten el titulo PEP o cuyas características identificadas en el conocimiento del cliente puedan llegar a materializar situaciones de riesgo de tipo LA/FT/FPADM en la compañía. 

8. Presentar a la Asamblea de Accionistas, los reportes, solicitudes y alertas que considere que deban ser tratados por dicho órgano y que estén relacionados con el SAGRILAFT. 

9. Asegurarse de que las actividades que resulten del desarrollo del SAGRILAFT se encuentran debidamente documentadas, de modo que se permita que la información responda a unos criterios de integridad, confiabilidad, disponibilidad, cumplimiento, efectividad, eficiencia y confidencialidad. 

10. Evaluar con el acompañamiento del oficial de cumplimiento, el riesgo de LA/FT/FPADM que implica la incursión de la compañía en la prestación de nuevos servicios. 

11. Certificar ante la Superintendencia de Sociedades el cumplimiento de lo previsto en el Capítulo X de la Circular Básica Jurídica de la Superintendencia de Sociedades, cuando así se solicite.  

12. Recibir y atender en conjunto con el oficial de cumplimiento, los requerimientos y recomendaciones de los órganos de control relacionados con el sistema de autocontrol y gestión del riesgo de LA/FT/FPADM. 

13. Suministrar los recursos humanos, tecnológicos y físicos para la implementación y correcto funcionamiento del sistema de autocontrol y gestión del riesgo de LA/FT/FPADM. 

14. Verificar que los procedimientos del SAGRILAFT desarrollen las políticas de LA/FT/FPADM adoptadas por la Asamblea de Accionistas. 

8.3 Oficial de Cumplimiento 

1. Gozar de capacidad para tomar decisiones y tener comunicación directa con la Asamblea de Accionistas 

2. Contar con conocimiento en administración de riesgos y entender el giro ordinario de las actividades de la Compañía 

3. Contar con un equipo de trabajo humano y técnico acorde con el tamaño de la Compañía 

4. No pertenecer a la administración, a los órganos sociales ni a la auditoría interna o externa, o revisoría fiscal. 

5. En caso de que la Asamblea de Accionistas designe a un Oficial de Cumplimiento que no se encuentre vinculado laboralmente, esta persona podrá realizar este cargo en no más de diez (10) empresas; en caso de que realice este cargo en otras empresas diferentes a Epayco, el Oficial de Cumplimiento deberá certificar que no lo hace en empresas que compitan con la Compañía. 

• Cometido delitos contra el patrimonio económico público o privado, lavado de activos o enriquecimiento ilícito. 

• Haber sido o sea objeto de extinción de dominio por participar en actividades ilícitas.  

• Haber sido o sea sancionado por violar normas que regulan la prevención, control y detección del LA/FT/FPADM 

Incompatibilidades 

No podrá ser designado como Oficial de Cumplimiento la persona que:  

• Pertenezca a los órganos de la administración. 

• Ostente el cargo de auditor interno o revisor fiscal. 

• Ostente el cargo de Representante Legal o Administrador de la Compañía. 

8.3.3 Conflictos de interés 

Conflictos de interés: El Oficial de Cumplimiento debe abstenerse de incurrir en situaciones de conflicto de interés en donde pueda anteponer sus intereses personales sobre los del SAGRILAFT, informando de dicha situación al comité o área encargada en la Compañía. Se presentan conflictos de interés para el Oficial de Cumplimiento en los siguientes casos: 

• En la consulta en listas, el análisis de operaciones inusuales, estudio de operaciones sospechosas y realización de reporte de operación sospechosa – ROS: Cuando la consulta, el estudio, análisis o reporte ha sido realizado para el cónyuge o compañero permanente, parientes dentro del primero11 y segundo grado de consanguinidad12, primero y segundo de afinidad13 o primero civil14, o respecto de aquellas operaciones o reportes en las que el Oficial de Cumplimiento tenga algún interés personal o busque el favorecimiento de otra persona.  

• En la realización de reportes a las autoridades: Se entiende que hay conflicto de interés cuando en la toma de decisión de la realización del reporte se encuentran involucradas situaciones personales de quien realiza el reporte o se trata de operaciones realizadas por cónyuges o compañeros permanentes, parientes dentro del segundo grado de consanguinidad, segundo de afinidad o primero civil. 

8.3.4 Funciones y responsabilidades del Oficial de Cumplimiento 

El Oficial de Cumplimiento debe cumplir como mínimo las siguientes funciones: 

1. Velar por el cumplimiento efectivo, eficiente y oportuno del SAGRILAFT. 

2. Diseñar la(s) política(s) y procedimientos del Sistema de Autocontrol y Gestión del riesgo de LA/FT/FPADM, que se ajusten a las características de la Compañía. 

3. Implementar las políticas y procedimientos descritos en este manual. 

4. Controlar y verificar periódicamente la ejecución de las medidas adoptadas en este manual con el fin de garantizar que el funcionamiento del sistema sea efectivo, eficiente y oportuno. 

5. Informar al Representante Legal de la Compañía o a quién haga las veces, acerca de las posibles fallas u omisiones en los controles establecidos para mitigar las situaciones de riesgo identificadas, que comprometan la responsabilidad de los empleados. 

6. Promover la adopción de correctivos y actualizaciones al SAGRILAFT, cuando las circunstancias lo requieran por lo menos una vez cada dos (2) años. Para ello deberá presentar a la Asamblea de Accionistas las propuestas y justificaciones de los correctivos y actualizaciones sugeridas al SAGRILAFT. 

7. Presentar a la Asamblea de Accionistas o máximo órgano de social y al representante legal, un informe semestral que contenga como mínimo:  1) La evaluación y análisis de la eficiencia y efectividad del SAGRILAFT, junto con la propuesta de mejoras, cuando a ello haya lugar; 2) la demostración con las actividades realizadas, de los resultados de la gestión del Oficial de Cumplimiento en el cumplimiento del SAGRILAFT y; 3) la demostración de los resultados de la gestión de la administración de la Compañía, en el cumplimiento del SAGRILAFT; 4) la evaluación y análisis sobre la eficiencia y efectividad del Sistema de autocontrol y gestión del riesgo LA/FT/FPADM. 

8. Diseñar, programar y coordinar la ejecución de los planes de capacitación necesarios para que los empleados de La Compañía estén debidamente informados, actualizados y entrenados para identificar y reportar señales de alerta, operaciones intentadas, inusuales o sospechosas. 

9. Evaluar los informes presentados por la auditoría interna o quien ejecute funciones similares o haga sus veces, así como los informes que presente el revisor fiscal o de auditorías externas, si es el caso, y adoptar medidas correctivas en caso de presentarse alguna deficiencia. 

10. Certificar cuando y como lo requiera la Superintendencia de Sociedades, el cumplimiento de lo previsto en el Capítulo X de la Circular Básica Jurídica. 

11. Verificar el cumplimiento de los procedimientos de Debida Diligencia y Debida Diligencia Intensificada, definidos por la Compañía. 

12. Velar por el adecuado archivo de los soportes documentales y demás información relativa a la gestión y prevención del riesgo de LA/FT/FPADM. 

13. Diseñar las metodologías de identificación, medición, control y monitoreo del riesgo de LA/FT/FPADM que formarán parte del SAGRILAFT. 

14. Realizar la evaluación de los riesgos de LA/FT/FPADM a los que se encuentra expuesta la Compañía. 

15. Diseñar las metodologías de segmentación, identificación, medición y control del riesgo de LA/FT/FPADM que forman parte del sistema.  

16. Registrarse en el SIREL administrado por la UIAF, solicitar el usuario y contraseña para el ingreso a esta plataforma y cumplir con el envío de los reportes. 

17. Recibir de las distintas áreas de la Compañía los reportes internos de operaciones intentadas, inusuales y sospechosas que le sean remitidos a través del mecanismo dispuesto para tal fin. 

18. Analizar los reportes recibidos, realizar las verificaciones necesarias con la colaboración de las áreas que se requiera, para determinar si una señal de alerta puede dar lugar a ser catalogada como una operación inusual y de ser necesario revestirla con el carácter de sospechosa. 

19. Realizar el reporte de las Operaciones Sospechosas (ROS) a la UIAF, el reporte de Ausencia de ROS (AROS) y cualquier otro reporte o informe que establezcan las normas que le son aplicables a la Compañía en materia de prevención y control del riesgo de LA/FT/FPADM, a través del SIREL. 

20. Reportar a la UIAF y poner en conocimiento del Vicefiscal General de la Nación a través de los canales físicos o electrónicos que determinen estas autoridades, las coincidencias de personas que se identifiquen en las Resoluciones 1267 de 1999, 1373 de 2001, 1718 y 1714 de 2006 y 2178 de 2014 del Consejo de Seguridad de las Naciones Unidas, en las listas de terroristas de Estados Unidos y la Unión Europea de acuerdo con el Acta del 17 de enero de 2020 del Consejo de Seguridad Nacional y todas aquellas que en un futuro las sustituyan o deroguen, con observancia de la respectiva reserva legal. 

21. Informar a la fiscalía general de la Nación sobre la existencia de bienes que haya detectado en desarrollo de sus actividades y que pueden ser objeto de la acción de extinción de dominio. 

22. Denunciar a la autoridad competente (fiscalía general de la Nación), cuando tenga conocimiento en desarrollo de sus actividades, de la realización de los delitos de LA/FT/FPADM. 

23. Atender y coordinar cualquier requerimiento, solicitud o diligencia de autoridad judicial o administrativa en materia de prevención y control de actividades delictivas. 

24. Recibir y en conjunto con el Representante Legal o con quién este designe, atender los requerimientos y recomendaciones de los órganos de control. 

25. Recibir y absolver las consultas de todos los empleados de la Compañía que ejecutan actividades de o para la Compañía o de los empleados que en un futuro contraten de manera directa la Compañía en todo lo relacionado con el Sistema autocontrol y gestión del riesgo LA/FT/FPADM. 

26. Acreditar los conocimientos requeridos sobre la operación de la Compañía y la administración de riesgos y tener la facultad de toma de decisiones en la Compañía.  

8.4 Funciones de los órganos de control 

Auditoría interna