PROGRAM

Sistema de Administración del Riesgo de Lavado de

Activos y de la Financiación del Terrorismo
SARLAFT
Marzo de 2018
Cliente Industria Periodo Terminado

Preparado por Fecha Preparación SARLAFT

Revisado por Fecha Revisión Sección eAudiT

Propósito

El propósito de este programa es documentar los procedimientos de auditoría desarrollados como

revisores fiscales, para evaluar el Sistema de Administración de Riesgo de Lavado de Activos y de la
Financiación del Terrorismo, de conformidad con lo previsto en el capítulo IV del título IV de la Parte
I de la Circular Básica Jurídica de la Superintendencia Financiera de Colombia. En este papel de
trabajo se documenta:
 Nuestro entendimiento y evaluación de la implementación de las políticas, objetivos, definiciones,
metodología, estructura organizacional, roles, responsabilidades y los fundamentos y lineamientos
generales que le permitan identificar, medir, controlar y monitorear los procedimientos
establecidos por la Entidad para la Administración del Sistema de Administración de Riegos de
Lavado de Activos y de la Financiación del Terrorismo.
 Nuestra evaluación respecto del mantenimiento y actualización del Sistema de Administración de
Riesgo de Lavado de Activos y de la Financiación del Terrorismo, de acuerdo con la estructura,
tamaño y objeto social de la Entidad.
 PROGRAM
Sistema de Administración del Riesgo de Lavado de
Activos y de la Financiación del Terrorismo
SARLAFT
Marzo de 2018
Contenido
1. PROCEDIMIENTOS TRIMESTRALES OBLIGATORIOS
El objetivo de auditoría es verificar que la Entidad cuente con políticas y procedimientos
relacionados con el Sistemas de Administración del Riesgo del Lavado de Activos y de la
Financiación del Terrorismo, mediante los siguientes procedimientos de auditoría:
 Procedimientos Trimestrales Rutinarios:
Los procedimientos de auditoría que a continuación se detallan, deben ser desarrollados en cada
trimestre del año.

Naturaleza y alcance de los procedimientos de auditoría Preparado WP Ref

Por

o
1. Consulte la lista de actualización de la lista OFAC y
ONU y seleccione un tercero nacional y otro extranjero y
valide que el sistema genera la alerta de bloqueo en la
vinculación.
2. Verifique que los nombres de personas y entidades que
han sido reportadas en el último trimestre por el
Presidente del Comité del Consejo de Seguridad como
incluidas en la lista de personas y entidades sujetas a la
congelación de activos, la prohibición de viajar y el
embargo de armas establecido en el párrafo 2 de la
resolución 2253 (2015) del Consejo de Seguridad,
aprobada con arreglo al Capítulo VII de la Carta de las
Naciones Unidas y de las cuales hemos sido informados
mediante la cuenta funcional creada para ese propósito
(centralizada en una lista de correo funcional de KPMG o
en el correo electrónico institucional del cliente), hayan
sido incluidas en las listas restrictivas de la ONU por
parte de la Entidad. Si identifica personas o entidades que
habiendo sido incluidas en la lista de la ONU, no han sido
actualizadas en las listas de la Entidad, reporte el hallazgo
al representante legal de la entidad para que se proceda
con la actualización respectiva.
3. Verifique si la Entidad ha identificado algún bien, activo,
producto, fondo o derecho de titularidad a nombre,
administración o control de cualquier país, persona y/o
entidad incluida en la lista del punto anterior y en caso
afirmativo, cerciórese de que la Entidad vigilada, de
manera inmediata, lo haya informado al Vice-fiscal
 PROGRAM
Sistema de Administración del Riesgo de Lavado de
Activos y de la Financiación del Terrorismo
SARLAFT
Marzo de 2018
General de la Nación y a la UIAF a través de los canales
electrónicos seguros que se hayan determinado conforme
está establecido en el numeral 6 –Sanciones financieras
dirigidas del Capítulo IV, Título IV de la Parte I de la
Circular Básica Jurídica de la Superintendencia
Financiera de Colombia, aplicable a entidades vigiladas.
Las comunicaciones relacionadas con estas designaciones
solicitan remitir información al correo electrónico:
cumplimientogafi67@[Link]
4. Verifique el envío de los reportes a la UIAF – Unidad de
Información y Analisis Financiero remitidos por la
Entidad y la evidencia de recepción.
Reporte Diario
- Reporte de operaciones sospechosa: Se debe
reportar de forma inmedita cuando la entidad
detecte alguna operación sospechosa.
Reportes Mensuales
Estos reportes se deben enviar dentro de los primeros
10 días calendario del mes siguiente al del corte.
- Reporte de ausencia de operaciones
sospechosas (en caso de que no se hayan
reportado operaciones en el mes)
- Reporte de transacciones en efectivo: son todas
aquellas transacciones que, en desarrollo del
giro ordinario de los negocios de los clientes,
involucren entrega o recibo de dinero en
billetes y/o en monedas nacional o extranjera.
- Múltiples en efectivo: Operaciones que en
conjunto igualen o superen $50 millones de
pesos, si es en moneda legal o USD$50.000 o
su equivalente en otras monedas.
- Individuales en efectivo: Operaciones iguales o
superiores a $10 millones de pesos, si es moneda legal
o USD$5.000 o su equivalente en otras monedas.
- Transacciones realizadas en Colombia con tarjetas
débito y crédito expedidas en el exterior. (Aplicable a
entidades que administren orepresenten franquicias
Visa, Diners, Master Card y American Express entre
otras)
 PROGRAM
Sistema de Administración del Riesgo de Lavado de
Activos y de la Financiación del Terrorismo
SARLAFT
Marzo de 2018
- Reporte sobre operaciones de transferencia, remesa,
compra y venta de divisas.
- Reporte de productos ofrecidos por entidades vigiladas
- Reporte de información sobre campañas políticas y
partidos políticos
Reportes Trimestrales
Estos reportes se deben enviar dentro de los primeros 10
días calendario del trimestre siguiente a la fecha de corte:
- Reporte de clientes exonerados del registro de
transacciones en efectivo
- Reporte Dirección Antinarcóticos de la Policía
Nacional Aplicable a los Almacenes Generales de
Depósito: Se reporta cada vez que se detectan
operaciones sospechosas vinculadas con sustancias
almacenadas
Otros reportes
- Reporte de patrimonios autónomos administrados por
entidades vigiladas: Las sociedades fiduciarias que
administren patrimonios autónomos en virtud de los
proyectos dispuestos por la ley 1508 de 2012, una vez
constituido el patrimonio autónomo, deberán realizar
un reporte a la UIAF dentro de los tres (3) días hábiles
siguientes.
Reporte de los Almacenes Generales de Depósito a
otras autoridades.
5. Realice seguimiento a las respuestas formales de la
Entidad y a los planes de acción de la Administración,
respecto de las oportunidades de mejoramiento
informadas por el Revisor Fiscal en el trimestre anterior.
6. Revise las comunicaciones emitidas por la
Superintendencia Financiera de Colombia relacionadas
con el SARLAFT y efectúe seguimiento al cumplimiento
de los requerimientos o compromisos adquiridos por la
Administración de la Entidad.
7. Verificar que el informe presentado por el Oficial de
Cumplimiento a la Junta Directiva cumpla con los
parámetros establecidos en el inciso (b) numeral [Link]
del Capítulo Décimo Primero de la Circular Externa 007
de 1996 y con la periodicidad requerida.
 PROGRAM
Sistema de Administración del Riesgo de Lavado de
Activos y de la Financiación del Terrorismo
SARLAFT
Marzo de 2018
8. Verificar que el seguimiento de la Junta Directiva a las
comunicaciones realizadas por el Oficial de
Cumplimiento y Revisoría Fiscal se encuentren
documentados en las reuniones de este órgano de control.
9. Verificar si el Manual de Procedimientos, Código de
Conducta y Formularios de vinculación han sido objeto
de actualizaciones o modificaciones.

En caso afirmativo o que sea un cliente nuevo de

revisoría fiscal de KPMG S.A.S., desarrolle y documente
los siguientes procedimientos:

Manual de procedimientos
Verificar que el manual de procedimientos SARLAFT
contenga los requisitos mínimos establecidos por la
Superintendencia Financiera de Colombia (Ver programa
manual SARLAFT)

Manual de
procedimientos [Link]

Código de Ética
Verificar que el Código de Etica de la Entidad contenga
los requisitos mínimos señalados por el ente de control
(Ver programa Código de Ética)

CÓDIGO DE
[Link]

Formulario de vinculación
Verificr que los formularios de vinculación de clientes
tanto de persona natural como jurídica, contenga los
requisitos mínimos exigidos por la norma (Ver programa
Formulario de Vinculación)

Formularios de
vinculació[Link]
 PROGRAM
Sistema de Administración del Riesgo de Lavado de
Activos y de la Financiación del Terrorismo
SARLAFT
Marzo de 2018
Documentación

Verificar que para las actualizaciones al Manual de

Procedimientos y Código de Ética, se obtenga la
aprobación de la Junta Directiva.
A continuación se indican los procedimientos de auditoría que deben ser desarrollados para cada
trimestre, de tal forma, que al finalizar cada año se haya verificado el cumplimiento de todos los
aspectos contenidos capítulo IV del título IV de la Circular Externa 029 de 2014 de la
Superintendencia Financiera de Colombia.

PRIMERA PARTE – I TRIMESTRE

Contenido
1. Estructura organizacional
2. Etapas del SARLAFT
3. Divulgación de la información

Naturaleza y alcance de los procedimientos de auditoría Preparado WP Ref.

por

Estructura Organizacional

1. Verifique el cumplimiento de las funciones y responsabilidades

definidas en el Manual SARLAFT para:

 Junta Directiva
 Representante Legal
Etapas del SARLAFT

Identificación
1. Verificar que la entidad tiene establecida una metodología para la
identificación de riesgo y esta contenida en el Manual SARLAFT
2. Documentar y validar que la identificación de los riesgos del
SARLAFT fue desarrollada bajo la metodología adoptada.
3. Verificar que las metodologías estén aprobadas por la Junta
Directiva.
4. Verificar que se realicen análisis para identificar nuevos riesgos o
eliminar algunos existentes, dicho análisis debe estar sustentado y
documentado por actas de reuniones.
 PROGRAM
Sistema de Administración del Riesgo de Lavado de
Activos y de la Financiación del Terrorismo
SARLAFT
Marzo de 2018
5. Documentar que en caso de presentarse cambios en la metodología,
éstas se encuentren aprobadas por la Junta Directiva y se dejé la
respectiva constancia en actas.
6. Verifique que el Oficial de Cumplimiento este involucrado en el
proceso que tiene la Entidad para medir los riesgos de nuevos
productos/servicios.

Medición
7. Documente los criterios adoptados por la Entidad para la
ponderación asociada a cada uno de los factores de riesgo para
SARLAFT
determinar el riesgo inherente.
8. Verifique que en el informe del Oficial de Cumplimiento se
documenten los resultados y/o cambios presentados en la medición.
9. Verifique que para las calificaciones del riesgo inherente y residual
para cada uno de los riesgos, su resultado es acorde con la
metodología establecida por la Compañía.

Control
10. De la matriz de riesgo SARLAFT diseñada por la Entidad
verifique para una muestra de controles que:
- El diseño de los controles, es decir, la forma como se
ejecuta el control, responsable, frecuencia, tipo y naturaleza
del control.
- Verificar que los controles estén funcionado como fueron
deseñados.
11. Rete los resultados de la evalución de la muestra de controles
frente a la calificación del control en la matriz riesgos y controles
suministrada por la entidad.

Monitoreo
12. Solicité a la Unidad de Cumplimiento la matriz de riesgos
SARLAFT del año anterior y la del año actual con el fin de
verificar si se presentaron modificaciones en la medición de los
riesgos inherente y residual y documente las razones de dichos
cambios. En caso de no presentarse cambios realicé indagaciones
con la administración
13. Verifiqué que en el informe del Oficial de Cumplimiento se
documente trimestralmente el resultado comparativo del riesgo
inherente y riesgo residual y los cambios presentados en la
 PROGRAM
Sistema de Administración del Riesgo de Lavado de
Activos y de la Financiación del Terrorismo
SARLAFT
Marzo de 2018
medición.
14. Verifique y documente que la entidad haya establecido
indicadores descriptivos y/o prospectivos que evidencien
potenciales fuentes de riesgo de LA/FT.
15. Verifique que los riesgos residuales se encuentren en los niveles
de aceptación establecidos por la Junta Directiva.

Divulgación de la Información
16. Utilizando la herramienta IDEA tome una muestra de operaciones
en efectivo superiores a $10 millones en moneda legal o
US$5.000 y verifique para la muestra seleccionada los requisitos
establecidos en el numeral 1º del artículo 103 del Estatuto
Orgánico del Sistema Financiero:
- Diligenciamiento completo del Formato “Declaración de
operaciones en efectivo”
- La identidad, la firma y la dirección de la persona que
físicamente realice la transacción.
- La identidad y la dirección de la persona en nombre de la cual
se realice la transacción.
- La identidad del beneficiario o destinatario de la transacción, si
la hubiere.
- La identidad de la cuenta afectada por la transacción, si
existiere.
- El tipo de transacción de que se trata (depósitos, retiros, cobro
de cheques, compra de cheques o certificados, cheques de
cajero u órdenes de pago, transferencias, etc.);
- La identificación de la institución financiera en la que se
realizó la transacción.
- La fecha, el lugar, la hora y el monto de la transacción.
 Con el reporte mensual de “operaciones exoneradas”, seleccione
una muestra de los terceros incluidos y solicité el análisis realizado
por la entidad para incluirlos en dicho reporte.
 PROGRAM
Sistema de Administración del Riesgo de Lavado de
Activos y de la Financiación del Terrorismo
SARLAFT
Marzo de 2018

SEGUNDA PARTE - II TRIMESTRE

Contenido
1. Conocimiento del Cliente
2. Calidad y poblamiento de las bases de datos
3. Identificación y análisis de operaciones inusuales
4. Determinación y reporte de operaciones sospechosas
5. Conocimiento del mercado

Naturaleza y alcance de los procedimientos de auditoría Preparado WP Ref.

por

Conocimiento del Cliente

Solicite a la fecha de corte del trimestre la base de datos de
clientes activos utilizadas por la entidad, que incluya como
mínimo las variables que son insumo para el modelo de
segmentación de riesgo definido por la entidad Los campos
mínimos requeridos son:
• Tipo de documento
• Número de documento
• Nombre Cliente
• Apellidos Cliente
• Tipo de Cliente (Persona Natural o Persona
Jurídica)
• Productos Activos Asociados (Descripción
por cada producto)
 PROGRAM
Sistema de Administración del Riesgo de Lavado de
Activos y de la Financiación del Terrorismo
SARLAFT
Marzo de 2018
• Regional
• Fecha de vinculación
• Fecha de última actualización de información
financiera del cliente
• Indicador PEP (Personas Públicamente
Expuestas)
• Ingresos Mensuales
• Egresos Mensuales
• Total Activos del Cliente
• Total Pasivos del Cliente
• Actividad Económica
• Código CIIU.

Fecha de última actualización de datos Sarlaft

(Este campo se utilizará para otros cruces de
información.

1. Para una muestra generada con la herramienta IDEA verifique el

cumplimiento de las políticas establecidas por la Entidad para la
vinculación de clientes, para la muestra seleccionada validé que
la información capturada en el sistema coincida con la registrada
en el formulario de vinculación y la información incluida en el
modelo de segmentación de SARLAFT.
 Solicite a la fecha de corte del trimestre la base de clientes activos
que incluya la fecha de última actualización de sus datos y a través
de la herramienta IDEA valide contra la fecha de corte, la existencia
de clientes que superan los 365 días en que su información no ha
sido actualizada.
Conocimiento del cliente por parte de grupos
2. En caso de existir conocimiento del cliente a nivel de grupos
económicos, verifique que se haya diseñado un formato único de
vinculación donde el cliente autorice la remisión de información
a los demás miembros del grupo.
3. Verifiqué el establecimiento de políticas que definan la
responsabilidad de la matriz o Entidad que designe de la
actualización anual de la información y de las gestiones
tendientes a confirmar dicha información.

Poblamiento y Calidad de Datos

Con la base de datos obtenida en el punto anterior, desde la herramienta
IDEA, importe las bases de datos suministradas por el cliente y ejecute
 PROGRAM
Sistema de Administración del Riesgo de Lavado de
Activos y de la Financiación del Terrorismo
SARLAFT
Marzo de 2018
los siguientes procedimientos:

4. Realizar un cruce entre las bases de datos de clientes activos de

los Sistemas de Información, y la base de datos de clientes
cargados al aplicativo que administra el modelo de
segmentación, con el objeto de identificar si el 100% de los
clientes con productos activos registrados en las bases de datos
del cliente se encuentran segmentados en el aplicativo de
SARLAFT.
5. A través de la herramienta IDEA verifique la calidad de la
información registrada en el archivo de clientes activos,
teniendo en cuenta las siguientes validaciones: campos vacíos,
en cero, valores numéricos negativos, información no
diligenciada o sin clasificación, información inconsistente y
tipos de datos acordes.
6. Realice seguimiento a las gestiones realizadas por la entidad
para mejorar la calidad de la información incluida en la base de
datos de clientes y su poblamiento

Identificación y Análisis de Operaciones Inusuales

7. Verifiqué que la Entidad cuente con metodologías, modelos o
indicadores que permita identificar operaciones inusuales tanto
para clientes como usuarios.
8. Documente si la Entidad deja constancia de las operaciones
inusuales detectadas, así como del responsable del análisis y su
resultado.
9. Solicite el reporte de operaciones inusuales del año en análisis y
para una muestra de operaciones tanto de clientes como de
usuarios, tomada con la herramienta IDEA, verifique si en el
área de Cumplimiento se deja constancia del responsable y
resultado del análisis y si se están resolviendo dentro de los
tiempos establecidos por la organización.

4. Determinación y reporte de operaciones sospechosas

11. Para una muestra las operaciones catalogadas como
sospechosas, documente los procedimientos realizados por el
Oficial de Cumplimiento para calificarlas en esta categoría.
12. De otra parte, verifiqué que las operaciones sospechosas se
hayan reportado ante la Unidad de Inteligencia y Análisis
Financiero, dejando constancia de la fecha y número de reporte
 PROGRAM
Sistema de Administración del Riesgo de Lavado de
Activos y de la Financiación del Terrorismo
SARLAFT
Marzo de 2018
de la operación.

5. Conocimiento del Mercado - Segmentación de Mercado

12. Documente los segmentos de clientes determinados por la
entidad teniendo en cuenta la actividad económica desarrollada.
13. Verifique si la entidad ha realizado, estudios sectoriales, que
permitan determinar el comportamiento del mercado de los
principales clientes.

TERCERA PARTE - III TRIMESTRE

Contenido
 PROGRAM
Sistema de Administración del Riesgo de Lavado de
Activos y de la Financiación del Terrorismo
SARLAFT
Marzo de 2018
Naturaleza y alcance de los procedimientos de auditoría Preparado WP Ref.
por
 PROGRAM
Sistema de Administración del Riesgo de Lavado de
Activos y de la Financiación del Terrorismo
SARLAFT
Marzo de 2018
1. Señales de Alerta

 Verifiqué la existencia y funcionamiento de señales de alerta,

(automáticas o manuales), con el fin de detectar operaciones
inusuales. A continuación se presentan algunas señales por tipo
de entidad.

Para Almacenes Generales de Depósito:

 Señales de alerta sobre sustancias controladas por la Dirección

Nacional de Estupefacientes e INDUMIL y de mercancías con
mayor exposición al riesgo de lavado de activos o contrabando.
 Inconsistencias en la información relacionada con el origen y
destino de la mercancía.
 Precios de mercancía muy por encima o debajo de los
de mercado.
 Importaciones o exportaciones realizadas por personas
vinculadas a procesos judiciales o penales.
 Las diferencias entre la descripción de las mercancías en
documentos frente a existencias físicas.
 El ingreso físico de sumas de dinero en contenedores, maletas,
compartimientos secretos de vehículos.

Para Bancos:

 Retiro de operaciones en efectivo superiores a $100 millones

realizados por personas naturales independientes
 Retiro de alto volumen de efectivo en zonas determinadas
como alto riesgo por operaciones de contrabando, zonas
fronterizas, entre otras.
 Cancelación de cuentas corrientes, y cuentas de ahorros del
mismo titular en fechas cercanas, cuenta de ahorros.

Comisionistas de Bolsa
- Constitución de Portafolios de inversión con sumas de dinero
elevadas, a través de una o múltiples transferencias de cuentas
del mismo titular o de terceros, de una misma o diferente
entidad financiera.
- Constitución de Portafolios de inversión con sumas de dinero
elevadas, a través de uno o múltiples cheques, que por la
información de sus giradores o de terceros no correspondan
 PROGRAM
Sistema de Administración del Riesgo de Lavado de
Activos y de la Financiación del Terrorismo
SARLAFT
Marzo de 2018
con la actividad económica del inversionista.
- Constitución de Portafolios de inversión con títulos cuyos
montos y características no sean acordes con el mercado o
sector, o no guarde relación con la actividad económica del
cliente.
- Constitución de Portafolios de inversión, en títulos de
inversión, en los que el inversionista negocia inicialmente
títulos con montos pequeños y luego quiere negociar con
montos muy superiores, sin justificación satisfactoria.
Sociedades Fiduciarias
- Operaciones en efectivo realizadas por personas naturales
superiores a $10 millones y personas jurídicas superiores
a $20 millones.
- Fideicomitente o adherente con homónimos en listas
restrictivas.
- Fraccionamiento de efectivo en consignaciones de bajo
monto para adiciones en fondos colectivos.
- Verifique si existe un proceso establecido para el
monitoreo de los desistimientos constantes o
significativos en los fideicomisos de preventa, documente
las actividades realizadas y los criterios usados en el
monitoreo. De manera ilustrativa, se mencionan algunas
actividades que las Fidudiarias realizan en el monitoreo:

Seguros
- Reclamaciones de pólizas de transporte de mercancía o
vehículos en zonas fronterizas.
- Beneficiarios de pólizas incluidos en listas restrictivas.

 .
 PROGRAM
Sistema de Administración del Riesgo de Lavado de
Activos y de la Financiación del Terrorismo
SARLAFT
Marzo de 2018
2. Segmentación de Factores de Riesgo
 Validé que las variables definidas en el modelo de segmentación se
encuentran parametrizadas en el sistema. (TI)

4 Seguimiento de Operaciones
- Valide que la totalidad de operaciones inusuales por el modelo
de segmentación sean analizadas por la Unidad de
Cumplimiento y determinen si son reportadas como
operaciones sospechosas.
1. Infraestructura Tecnológica
IRM
Verifique y documente la infraestructura tecnológica con que cuenta la
Entidad para garantizar la adecuada administración del riesgo de
Lavado de Activos y Financiación del Terrorismo LA/FT. Las
características a tener en cuenta son:

- Captura y actualización periódica de los factores de riesgo

 Como la entidad ha identificado e incluido los riesgos

inherentes en el sistema con su respectiva calificación, de
acuerdo con la propabilidad e impacto establecida en la
metodología.

 Verifiqué que la Entidad ha establecido una metodología para

la evaluación de controles de SARLAFT de acuerdo con lo
establecido en el nivel de riesgo.

 Verifique que el sistema genera alertas de los clientes con

información financiera desactualizada
Verificar los siguientes aspectos en el o los sistemas de información
que soportan el SARLAFT (En los casos en los que aplique)
 Accesos a programas y datos
- Asignación de roles y perfiles.
- Asignación, modificación y eliminación de cuentas.
- Revisión periódica de roles / perfiles y usuarios.
- Usuarios con privilegio administrador de aplicación y base
de datos.
 Cambios a programas
 PROGRAM
Sistema de Administración del Riesgo de Lavado de
Activos y de la Financiación del Terrorismo
SARLAFT
Marzo de 2018
- Autorización, desarrollo, pruebas, aprobación y paso a
producción.
 Operaciones por computador
- Procedimientos para la ejecución de tareas programadas
por lotes y/o interfases.
 Desarrollo de programas
- Metodología de desarrollo y adquisición de software.
- Diseño, desarrollo, prueba, aprobación e implementación.
- Migración de datos.

2. Actualización de información de los clientes. IRM

 Verifique que el o los sistemas de información que almacenan los
datos de clientes cuentan con mecanismos como alertas
automáticas o reportes de los clientes que tienen información
desactualizada.
3. Listas restrictivas.
IRM
- Verifique los procedimientos realizados por la entidad para la
actualización de listas restrictivas OFAC, ONU en los sistemas
de información de la entidad, que garantizen que hay
integridad y completitud en la información registrada
(Tambien como procedimiento adicional no obligatorios,
valide si se tienen en cuenta otras listas como BOE (Banco de
Inglaterra), CGR (Contraloría General de la Republica) y
Desmovilizados (Lista restrictiva de la LEY 975 de la fiscalía),
con el fin de fortalecer las listas restrictivas de la entidad).
- En caso que la actualización de las listas restrictivas sea
realizada por un usuario a través de una opción en los sistemas
de información, solicite el listado de usuarios con acceso a la
opción y verifique que corresponden a los funcionarios
autorizados.

- Verifique los usuarios con acceso a modificar el estado de los

clientes en los sistemas de información y valide que
unicamente los funcionarios autorizados cuentan con acceso a
la opción que permite el “bloqueo” y “desbloqueo” de personas
registradas en las listas vinculantes.

- Verifique los procedimientos implementados por la entidad

para validar las listas restrictivas OFAC y ONU, frente a las
bases activas de clientes, proveedores, representantes legales,
 PROGRAM
Sistema de Administración del Riesgo de Lavado de
Activos y de la Financiación del Terrorismo
SARLAFT
Marzo de 2018
accionistas y/o beneficiarios; con el fin de identificar la
existencia de personas que se encuentren registrados en estas
listas restrictivas y esten vinculados con la entidad.

- Para evidenciar la restricción / validación con listas restrictivas

ONU y OFAC en los sistemas de información por medio de los
cuales se realiza la vinculación de personas a la entidad,
seleccione una muestra de nombres incluidos en las listas, a
través de la herramienta IDEA y efectué la validación,
verificando que el sistema genere alertas o bloqueos.

4. Personas Públicamente Expuestas IRM

 Verifique que el o los sistema(s) de información, cuenten con un
campo o identificador para los clientes considerados personas
públicamente expuestas.
 Verifique los usuarios con acceso a marcar y desmarcar los clientes
que son considerados personas públicamente expuestas en los
sistemas de información y valide que únicamente los funcionarios
autorizados cuentan con acceso activo.
 Verifique si la entidad ha diseñado alertas automáticas específicas
para el manejo de personas públicamente expuestas.

IRM
5. Señales de alerta
 Verifique que la Entidad haya determinado alertas para cada uno de
los factores de riesgo (cliente, jurisdicción, canales y producto),
validando que se estén incluyendo la totalidad de los mismos y
existan procedimientos para su automatización.
 En caso de que las alertas automáticas sean parametrizadas en el o
los sistemas de información, solicite los usuarios con acceso a las
opciones definidas para ello y verifique que corresponden a los
funcionarios autorizados.
 Verifique que la Entidad cuenta con procesos automáticos de
consolidación electrónica de operaciones, ejecutadas por los
diferentes canales y sistemas de información, que son insumo en el
sistema de información que detecta / genera las señales de alerta.
Verifique la existencia de procesos que garanticen la integridad de
la información que es consolidada.
 Verifique que la calificación dada al cliente por el modelo de
segmentación de riesgo, es insumo para la generación de señales de
alerta.
 PROGRAM
Sistema de Administración del Riesgo de Lavado de
Activos y de la Financiación del Terrorismo
SARLAFT
Marzo de 2018

 Verifique la existencia de una herramienta tecnológica (sistema de

información, computación de usuario final, carpeta compartida,
share point) en donde se registren las operaciones inusuales
identificadas tanto para clientes como usuarios. Con el fin de llevar
un historial e identificar los clientes y/o operaciones que pueden ser
recurrentes.
 Verifique los usuarios con acceso al registro, modificación,
eliminación y consulta de los casos reportados o que fueron objeto
de análisis de operaciones consideradas inusuales, en la plataforma
dispuesta para ello y valide que únicamente los funcionarios
autorizados cuentan con acceso activo.
 Verifique que el sistema genera alertas de los clientes con
información financiera desactualizada

6. Segmentación de Factores de Riesgo

IRM
 Verifique que el modelo de segmentación que se encuentre
implementado y que los factores se encuentren en un sistema de
información, incluya los factores de riesgo:
Clientes: Actividad económica, volumen o frecuencia de sus
transacciones y monto de ingresos, egresos y patrimonio.
Productos: Naturaleza, características y nicho de mercado o
destinatarios.
Canales de distribución: Naturaleza y características.
Jurisdicciones: Ubicación, características y naturaleza de las
transacciones.
 Solicite los usuarios con acceso al sistema de información en el
que se administra el modelo de segmentación de la entidad y
verifique que los funcionarios con acceso a parametrizar dicho
modelo o las variables que en el intervienen corresponden a los
funcionarios autorizados.
 Verifique que la Entidad cuenta con procesos automáticos de
consolidación electrónica de la información desde los
diferentes sistemas y que es requerida para ejecutar el modelo
de segmentación.
 Valide la existencia de procesos que garanticen la integridad de
la información que es consolidada y que alimenta el modelo.
 PROGRAM
Sistema de Administración del Riesgo de Lavado de
Activos y de la Financiación del Terrorismo
SARLAFT
Marzo de 2018

7. Reportes UIAF IRM

 Verifiqué que la entidad cuenta con procesos automáticos de
consolidación electrónica de operaciones, ejecutadas por los
diferentes canales y sistemas de información asociados, para la
generación de los reportes que se envían a la UIAF.
 Verifiqué la existencia de procesos que garanticen la integridad
de la información que alimenta los reportes enviados a la
UIAF.
 Verifique que la entidad cuenta con procesos automáticos
para la generación de los reportes que se envían a la
UIAF, de acuerdo con los parámetros establecidos por la
Superintendencia Financiera de Colombia.
. 2. Campañas Políticas
 Indagué si durante el año la Entidad ha realizado apertura de
cuentas bancarias para el manejo de los recursos de campañas
políticas y partidos políticos.
En caso afirmativo:
 Documente que se han emitido circulares o políticas internas
en la Entidad para el manejo de dichas cuentas.
 Que se han emitido instrucciones que le permitan a la Entidad
tener un control y monitoreo permanente de las operaciones
que se realicen.
 Documentar si la Entidad ha identificado los funcionarios de
las campañas políticas y se han emitido autorizaciones de estos
funcionarios para efectuar retiros o traslados y controlar los
aportes y donaciones en efectivo.
 Documentar si la Entidad estableció topes de cuantía máxima
para el depósito o retiro de sumas en efectivo y procedimientos
de información al público sobre los movimientos de dichas
cuentas.
1.3. Personas Públicamente Expuestas
- Documenté el procedimiento de vinculación y monitoreo de las
personas Publicamente Expuestas.
- Verifiqué si el funcionario encargado de aprobar la vinculación
de estos clientes es de nivel jerarquico superior al que
 PROGRAM
Sistema de Administración del Riesgo de Lavado de
Activos y de la Financiación del Terrorismo
SARLAFT
Marzo de 2018
normalmente aprueba las vinculaciones en la Entidad.
8. Solicité la lista vigente de este tipo de clientes y verifique el
cumplimiento del procedimiento de vinculación y monitoreo de
operaciones mediante una muestra generada con la herramienta
IDEA.

1. Señales de alerta-IRM
2. Segmentación de los Factores de Riesgo-IRM
3. Seguimiento de Operaciones-IRM
4. Infraestructura Tecnológica-IRM
5. Actualización de la información de los clientes-IRM
6. Listas restrictivas-IRM
7. Personas públicamente expuestas-IRM
 PROGRAM
Sistema de Administración del Riesgo de Lavado de
Activos y de la Financiación del Terrorismo
SARLAFT
Marzo de 2018

CUARTA PARTE - IV TRIMESTRE

Contenido
1. Auditoría Interna
2. Capacitación
3. Reglas Especiales para Transferencias Nacionales e Internacionales
4. Cruce de listas restrictivas
5. Divulgación de la información.

Naturaleza y alcance de los procedimientos de auditoría Preparado WP Ref.

por

2. Auditoría Interna
 Verifiqué que la Auditoría Interna o quien haga sus veces,
realice como mínimo evaluación anual del cumplimiento de las
etapas y elementos del SARLAFT. Tenga en cuenta:
- Informe realizado
- Recomendaciones realizadas
- Acciones tomadas por la Admistración
- Que el informe incluyá la evaluación de la parametrización de las
metodologias, modelos e indicadores cualitativos y/o
cuantitativos de reconocido valor técnico.
 Verifiqué que los hallazgos identificados por la Auditoría Interna
hayan sido informadas al Oficial de Cumplimiento y Junta Directiva
 Verifiqué la respuesta emitida por el Oficial de Cumplimiento e
identifiqué si se han implementado los planes de acción informados.

3. Capacitación

Verifiqué que la Entidad desarrolló un programa de capacitación anual,

que estaba formalizado por escrito, que incluyó a todos los funcionarios,
inclusive, al oficial de cumplimiento principal y suplente y que contara
entre otros los siguientes aspectos:

- Los mecanismos de evaluación de conocimientos sobre los

resultados obtenidos con el fin de determinar la eficacia de dichos
 PROGRAM
Sistema de Administración del Riesgo de Lavado de
Activos y de la Financiación del Terrorismo
SARLAFT
Marzo de 2018
programas

- Capacitación en las jornadas de inducción.

- El alcance del programa, los medios que se emplearon para

ejecutarlos y los procedimientos que se adelantarán para
evaluarlos.

- Que contemple todos los funcionarios de la entidad incluidos

personal temporal.
a) Para los funcionarios que no recibieron la capacitación
respectiva, verifiqué los planes de acción del Oficial de
Cumplimiento.

4. Transferencias Nacionales e Internacionales

 Documenté si la Entidad realiza este tipo de operaciones. En caso
afirmativo, documente los procedimientos establecidos.
 Utilizando la herramienta IDEA tomé una muestra de operaciones
de transferencia vía swift, money remitters y verifique que el
documento de transferencia o mensaje contenga los aspectos
indicados en el numeral 5.11 Capítulo Décimo Primero de la
Circular Básica Jurídica 007 de 1996 de la Superintendencia
Financiera de Colombia:
2 Datos del Ordenante:

Nombre y apellido
Dirección
País
Ciudad
Entidad financiera originadora

3 Datos del beneficiario

Nombre y apellido
Dirección
País
Ciudad
17. Para la lista OFAC, descargue a la fecha de corte del trimestre esta
OFAC desde el sitio Web [Link]
center/sanctions/SDN-List/Pages/[Link] y la lista ONU,
ejecuté la TAAC definida en la herramienta IDEA para el cruce de
la lista frente a las bases de (en los casos en los que aplique):
 PROGRAM
Sistema de Administración del Riesgo de Lavado de
Activos y de la Financiación del Terrorismo
SARLAFT
Marzo de 2018
- Clientes
- Proveedores
- Representantes Legales
- Accionistas y
- Beneficiarios
Divulgación de la información

Verifiqué que la entidad su informe de gestión al cierre de cada ejercicio

contable, deben incluya una indicación sobre la gestión adelantada en
materia de administración de riesgo de LA/FT.

Emita conclusión sobre el trabajo y prepare el informe trimestral para la Junta Directiva y la carta de
oportunidades de mejoramiento dirigida a la Administración de la Compañía.

Presente el resultado al Oficial de Cumplimiento y discuta con este funcionario el Informe Trimestral
a Junta Directiva y la carta de oportunidades de mejoramiento, previo a su emisión.
3
En el capítulo IV del título IV de la Circular Externa 029 de 2014 de la Superintendencia Financiera
de Colombia, no lo exige literalmente, es una recomendación de la Revisoría Fiscal orientada a una
mejor práctica para las entidades.