ASRIESGOS - Asesores en riesgos
Herramienta pedagógicaGap Analysis normativo | Capítulo IX
Transición normativa · Capítulos X y XIII hacia Capítulo IX

No es una fusión documental.
Es una reingeniería del sistema.

Herramienta pedagógica construida a partir del GAP_Analysis_CapIX_ASRIESGOS para explicar los cambios materiales, las brechas críticas, las zonas grises y la ruta mínima de adecuación del Sistema de Autocontrol y Gestión de Riesgos LA/FT/FP y C/ST.

Criterio rector: el sistema debe ser integrado, pero no indiferenciado. La arquitectura, la debida diligencia, la evidencia, los reportes y el gobierno se articulan bajo un solo sistema, preservando la naturaleza diferencial de LA/FT/FP y C/ST.
Iniciar recorrido
2 → 1
Arquitectura normativa

De SAGRILAFT y PTEE separados a un sistema integrado LA/FT/FP y C/ST.

8
Brechas ejecutivas críticas

Sistema, UVB, sujetos, gobierno, DD/DDI, Habeas Data, ROS/AROS y auditoría.

10
Frentes mínimos de adecuación

Ruta práctica con evidencia esperada para cada frente.

Fase 0
Validación metodológica previa

Tres productos mínimos antes de la aprobación formal.

1. Lectura ejecutiva

La transición cambia la arquitectura, no solamente los nombres

El Gap Analysis identifica una reestructuración sistémica del cumplimiento corporativo: gobierno, metodología, debida diligencia, reportes, canales, evidencia y auditoría deben operar de forma articulada.

Modelo anterior

  • Capítulo X: SAGRILAFT y riesgos LA/FT/FPADM.
  • Capítulo XIII: PTEE y riesgos C/ST.
  • Manuales, matrices, debida diligencia y canales con desarrollos separados.
  • Riesgo de duplicidades, vacíos y decisiones desconectadas.

Capítulo IX

  • Un único Sistema de Autocontrol y Gestión de Riesgos LA/FT/FP y C/ST.
  • Política, manual, matriz, DD/DDI, reportes y evidencia integrados.
  • Subfamilias, causas, impactos y controles diferenciados.
  • Gobierno y supervisión interna con mayor trazabilidad.
Brecha metodológica principal: una matriz integrada no puede tratar de forma idéntica el ingreso, ocultamiento o canalización de recursos ilícitos y la salida, desviación o uso indebido de recursos corporativos para obtener beneficios indebidos.
Riesgo de implementación: construir un sistema formalmente unificado pero funcionalmente fragmentado puede configurar paper compliance y debilitar la defensa de la organización ante una supervisión.
2. Reglas de interpretación

Cómo leer correctamente el Gap Analysis

El informe diferencia la exigencia normativa de las medidas prudenciales para evitar convertir recomendaciones técnicas en obligaciones inexistentes.

Obligación expresaCambio materialZona grisBrecha operativaRecomendación prudencial
Normativa

Soporte identificable

No se presume una obligación sin texto o numeral verificable.

Cambio

Materialidad

Se evalúa impacto legal, operativo y en gestión de riesgos.

Interpretación

Zona gris

Se identifica la ambigüedad y se formula un tratamiento prudencial.

Operación

Brecha

Se evidencian fallas de datos, tecnología, capacidad o metodología.

Prudencial

Proporcionalidad

ISO 31000/31010 y herramientas tecnológicas se usan como criterios técnicos, no como mandatos universales.

3. Matriz ejecutiva

Ocho brechas críticas que deben orientar la adecuación

Todos los frentes fueron clasificados con criticidad alta en el Gap Analysis, por su exigibilidad, complejidad operativa o impacto probatorio.

01

Sistema integrado

De dos programas separados a una arquitectura única.

Acción: rediseñar manual, política, matriz, controles, canales y evidencia.
02

UVB

Migración de umbrales en SMMLV a Unidad de Valor Básico.

Acción: recalcular obligatoriedad con soporte financiero anual.
03

Sujetos obligados

Reorganización del ámbito, sectores y regímenes.

Acción: validar CIIU, ingresos, activos, naturaleza jurídica y exclusiones.
04

Gobierno

Mayor trazabilidad para junta, máximo órgano, representante legal y OC.

Acción: documentar recursos, decisiones, informes y seguimiento.
05

DD/DDI integrada

El conocimiento de contraparte debe cubrir LA/FT/FP y C/ST.

Acción: formato modular y niveles de intensidad.
06

Habeas Data

La DD/DDI puede involucrar datos de terceros sin vínculo contractual directo.

Acción: finalidad, legitimidad, minimización, reserva y retención.
07

ROS / AROS

Existe tensión operativa entre rol técnico del OC y responsabilidades en SIREL.

Acción: definir flujo interno, reserva, registro y evidencia.
08

Auditoría

La revisión debe validar operatividad integrada, no solo documentos.

Acción: ejecutar pruebas de recorrido de principio a fin.
4. Análisis detallado

Seis ejes técnicos de transformación

Explore cada eje para identificar la situación anterior, el cambio bajo el Capítulo IX y el ajuste requerido.

Antes

Umbrales en SMMLV y sectores distribuidos entre SAGRILAFT y PTEE.

Capítulo IX

UVB, régimen general, Régimen de Medidas Mínimas y reorganización sectorial.

Ajuste requerido

Matriz anual de obligatoriedad por CIIU, ingresos, activos, sector, contratos y transacciones.

Junta / máximo órgano

Aprobar y hacer seguimiento al sistema integrado, dejando constancia en actas.

Representante legal

Asegurar recursos, información, coordinación y flujo operativo con SIREL.

Oficial de Cumplimiento

Continuidad, principal y suplente, independencia, competencias duales, equipo y capacidad suficiente.

Taxonomía

Una estructura común con subfamilias LA/FT/FP y C/ST claramente diferenciadas.

Impactos

Medición diferenciada de confiscación, sanción, reputación, operación y continuidad.

Controles y alertas

Controles comunes y específicos; catálogo integrado con origen, responsable y acción.

Alcance

Contrapartes, BF, PEP, asociados cercanos, jurisdicciones, activos virtuales, intermediarios y contratistas.

Intensidad

Causales, aprobaciones y monitoreo intensificado definidos por exposición.

Datos personales

Finalidad, fuente legítima, autorización cuando aplique, minimización, reserva y retención.

ROS / AROS

Flujo con decisión técnica, reserva, registro y delimitación de responsabilidades.

Canal integrado

Alcance LA/FT/FP y C/ST, confidencialidad, no represalia y gestión de casos.

Expediente trazable

Fecha, hora, fuente, verificador, resultado, decisión, aprobación y conservación.

Adecuación

Plan con fecha límite aplicable, responsables, hitos, evidencia y seguimiento.

Permanencia

Revisar anualmente si aplica el período adicional del sistema general o del RMM.

Supervisión

La autoridad conserva la posibilidad de revisar el cumplimiento de los regímenes anteriores.

5. Taxonomía del cambio

Qué se integra, qué se refuerza y qué exige rediseño

La clasificación permite orientar el trabajo jurídico, metodológico y operativo sin tratar todos los cambios como si tuvieran la misma naturaleza.

Obligación integrada

Sistema único

Manual, política, matriz y procedimientos deben articular LA/FT/FP y C/ST.

Cambio de umbral

Recalcular en UVB

Se requiere certificación anual de ingresos, activos, CIIU y régimen aplicable.

Obligación reforzada

Matriz diferenciada

Una metodología documentada con subfamilias, causas, impactos y controles diferenciados.

Obligación integrada

DD/DDI modular

Formatos y reglas para contraparte, BF, PEP, jurisdicción, activos virtuales y contratistas.

Obligación absorbida

Manuales aislados

SAGRILAFT y PTEE dejan de operar como sistemas autónomos desconectados.

6. Matriz comparativa

Consulta filtrable de cambios materiales

La matriz resume el Anexo B del Gap Analysis y permite filtrar por criticidad y tipo de cambio.

EjeRégimen anteriorCapítulo IXTipo de cambioImpacto principalCriticidadAcción recomendada
7. Zonas grises

Ambigüedades que requieren tratamiento prudencial

Estas medidas no se presentan como obligaciones legales autónomas: son respuestas proporcionales frente a riesgos interpretativos u operativos.

Alta

ROS / AROS

Posible confusión entre el análisis técnico del OC y el responsable registrado en SIREL.

Tratamiento: procedimiento interno, trazabilidad, reserva y delimitación de roles.

Alta

Cadena Tier-2 / Tier-3

No existe un límite técnico expreso para contratistas indirectos.

Tratamiento: evaluar terceros críticos, cláusulas, derecho de auditoría y DDI por exposición.

Alta

Habeas Data

PEP, asociados cercanos y BF pueden involucrar datos de terceros.

Tratamiento: finalidad, minimización, base legítima, reserva y retención.

Media-Alta

Proporcionalidad de DD

La norma no fija umbrales operativos universales.

Tratamiento: niveles documentados: simplificada, estándar, ampliada, intensificada o prohibida.

Media-Alta

Activos virtuales

No debe afirmarse una herramienta forense universalmente obligatoria.

Tratamiento: analítica especializada solo según materialidad y exposición real.

Media

Crowdfunding

Su definición expresa no equivale automáticamente a una obligación sectorial.

Tratamiento: incluirlo como factor si se utiliza o existe exposición.

Alta

Beneficiario final / RUB

No toda discrepancia activa automáticamente DDI.

Tratamiento: cruce prudencial y análisis ampliado ante inconsistencias relevantes.

Alta

Diferenciación causal

La integración puede inducir una matriz plana y controles débiles.

Tratamiento: impactos y controles diferenciados para LA/FT/FP y C/ST.

8. Plan mínimo de adecuación

Diez frentes para convertir el diagnóstico en ejecución

Cada frente vincula una acción requerida con la evidencia mínima esperada.

1

Diagnóstico de obligatoriedad

Recalcular la condición de sujeto obligado con UVB, actividad económica, ingresos, activos, sector y régimen aplicable.

EvidenciaCertificación anual y matriz de obligatoriedad.
2

Arquitectura integrada

Rediseñar manual, política, matriz y procedimientos bajo un único sistema LA/FT/FP y C/ST.

EvidenciaManual y política integrados.
3

Matriz diferenciada

Construir una matriz integrada con lógicas causales y controles diferenciados por familia de riesgo.

EvidenciaMatriz aprobada y metodología documentada.
4

DD / DDI

Rediseñar formularios para contraparte, BF, PEP, asociados cercanos, jurisdicción, activos virtuales, contratación estatal, donaciones, intermediarios y cadena de suministro.

EvidenciaFormato único modular y procedimiento.
5

Protección de datos

Incorporar finalidad, autorización cuando aplique, aviso de privacidad, minimización, reserva, fuente y retención.

EvidenciaProtocolo DD/DDI con Habeas Data.
6

Tecnología y evidencia

Evaluar consulta, screening, alertas, trazabilidad, historial de decisiones y control documental.

EvidenciaInforme de brecha tecnológica.
7

Oficial de Cumplimiento

Analizar carga, competencias, independencia, suplencia, presupuesto y equipo de apoyo.

EvidenciaEvaluación de capacidad y plan de recursos.
8

Reportes y canales

Definir flujo ROS/AROS, canal interno y externo, confidencialidad, no represalia y reserva.

EvidenciaProcedimiento aprobado y matriz de reportes.
9

Auditoría

Ejecutar pruebas de recorrido integradas sobre casos reales o simulados.

EvidenciaInforme de pruebas y plan de mejora.
10

Capacitación

Capacitar por roles críticos sobre LA/FT/FP, C/ST, señales de alerta, DD/DDI y canal de denuncias.

EvidenciaPlan, asistencia y evaluación.
9. Recomendación final del Gap Analysis

Fase 0 · Validación metodológica previa

Antes de la aprobación formal por la junta o el máximo órgano social, se recomienda confirmar que el sistema no sea una fusión documental de SAGRILAFT y PTEE, sino una arquitectura operativa integrada, proporcional, verificable y trazable.

1

Matriz integrada diferenciada

Causa, evento, consecuencia, control, indicador, responsable y evidencia; con subfamilias e impactos diferenciados.

2

Protocolo DD/DDI + Habeas Data

Formato modular, reglas PEP/BF/asociados, finalidades, fuentes, autorización cuando aplique, retención y reserva.

3

Prueba de recorrido

Caso documentado de principio a fin para demostrar la operatividad real del sistema.

10. Prueba de recorrido integrada

La evidencia debe demostrar que el sistema funciona

El Anexo C propone validar un caso de extremo a extremo, no limitarse a revisar documentos aislados.

ETAPA 1

Vinculación

Solicitud, contraparte, producto o negocio jurídico.

ETAPA 2

DD / DDI

Conocimiento, BF, PEP, listas, fuentes y soportes.

ETAPA 3

Matriz

Factor, riesgo específico, valoración y controles.

ETAPA 4

Alerta

Señal, criterio de normalidad y análisis.

ETAPA 5

Decisión

Aprobación, rechazo, escalamiento o medidas.

ETAPA 6

Reporte / canal

Flujo ROS/AROS o gestión de denuncia.

ETAPA 7

Evidencia

Fecha, hora, fuente, verificador y trazabilidad.

ETAPA 8

Monitoreo

Seguimiento, indicadores y mejora.

11. Anexo A

Checklist mínimo de transición

Marque los elementos revisados. El avance se conserva en este navegador.

12. Soporte interpretativo puntual

El Oficio 220-022885 de 2021 dentro de esta lectura

El oficio no dirige el artefacto: se utiliza como apoyo para comprender la segmentación dentro de la identificación de factores de riesgo.

Contribución interpretativa

El oficio orienta la segmentación como organización de sujetos o elementos por características relevantes, reconoce que las variables deben responder al sector, tamaño, mercado y exposición de cada empresa, y admite insumos cualitativos y cuantitativos.

Límite de uso

Se trata de un concepto general no vinculante. Bajo el Capítulo IX, su utilidad debe integrarse a la norma vigente y no trasladar automáticamente metodologías propias de otros supervisores o del sector financiero.

13. Jerarquía de fuentes

Documento principal y fuentes de contraste

Fuente principal

GAP_Analysis_CapIX_ASRIESGOS

Estructura la narrativa del artefacto: brechas, metodología, ejes técnicos, zonas grises, plan de adecuación, Fase 0 y anexos.

Soporte normativo

Capítulo IX vigente

Se usa para validar definiciones, ámbito, gobierno, DD/DDI, reportes, conservación, transición y permanencia.

Soporte interpretativo

Oficio 220-022885 de 2021

Se consulta de forma puntual para el alcance de la segmentación y la autonomía metodológica del sujeto obligado.

Conclusión técnica

El Capítulo IX exige una reestructuración sistémica. La adecuación debe demostrar que la integración es real, que la diferenciación causal se conserva y que cada componente deja evidencia suficiente, íntegra, oportuna, confiable, reservada y disponible. La recomendación central es validar la metodología antes de aprobar formalmente el sistema.

ASRIESGOS
Herramienta pedagógica de uso consultivo · Elaborada con base principal en el Gap Analysis normativo ASRIESGOS · No sustituye el análisis jurídico particular.