Política de Prevención de Riesgos LA/FT/FP y C/ST

Régimen de Medidas Mínimas · Versión 1.0

Arrubla Devis Asociados S.A.S. adopta el Régimen de Medidas Mínimas que el numeral 9.6.3 del Capítulo IX de la Circular Básica Jurídica de la Superintendencia de Sociedades exige a las sociedades del sector de servicios jurídicos. Este es el texto de esa política.

1. Objeto y alcance

1.1 Objeto. El objeto de esta política es adoptar el Régimen de Medidas Mínimas que el numeral 9.6.3 del Capítulo IX de la Circular Básica Jurídica de la Superintendencia de Sociedades exige a las sociedades del sector de servicios jurídicos, y establecer cómo Arrubla Devis Asociados S.A.S. (en adelante, Arrubla Devis) previene y gestiona los riesgos de lavado de activos, financiamiento del terrorismo, financiamiento de la proliferación de armas de destrucción masiva, corrupción local y soborno transnacional.

1.2 Denominación abreviada. Los riesgos señalados en el artículo anterior se denominan en esta política los riesgos regulados, y corresponden a los que la Superintendencia de Sociedades identifica con la sigla LA/FT/FP y C/ST.

1.3 Alcance. Esta política obliga a los socios, empleados, contratistas y demás personas que actúen en nombre de Arrubla Devis, en las oficinas de Medellín y Bogotá y en toda operación que la firma ejecute. Cada destinatario responde por conocerla y aplicarla en lo que le corresponde.

1.4 Contrapartes. Esta política se aplica frente a toda contraparte de Arrubla Devis, entendida como cualquier persona natural o jurídica con la que la firma tenga vínculos comerciales, de negocios, contractuales o jurídicos, y comprende a clientes, proveedores, contratistas, empleados y accionistas.

2. Definiciones

2.1 Glosario. Para los efectos de esta política se entiende por:

• Beneficiario final: la persona natural que determine el artículo 631-5 del Estatuto Tributario y las normas que lo modifiquen, complementen, sustituyan o adicionen.

• Canal de denuncias: el instrumento que permite a empleados, contratistas, socios y terceros relacionados comunicar de manera confidencial hechos posiblemente constitutivos de los riesgos regulados.

• Contraparte: cualquier persona natural o jurídica con la que Arrubla Devis tenga vínculos comerciales, de negocios, contractuales o jurídicos de cualquier naturaleza.

• Debida diligencia: el conjunto de actuaciones mediante las cuales Arrubla Devis identifica a la contraparte y a su beneficiario final, verifica su identidad, conoce su estructura de propiedad y el propósito de la relación, y examina sus operaciones mientras la relación subsista.

• Listas vinculantes: las listas de personas y entidades asociadas con organizaciones terroristas que son vinculantes para Colombia conforme al artículo 20 de la Ley 1121 de 2006, a las resoluciones del Consejo de Seguridad de las Naciones Unidas y a las demás que resulten vinculantes con arreglo al derecho internacional.

• Medidas razonables: las actuaciones apropiadas y medibles que Arrubla Devis adopta en proporción a la materialidad del riesgo y a las herramientas de que dispone.

• Operación inusual: aquella cuya cuantía o características no guardan relación con la actividad económica ordinaria de la contraparte, o que se sale de los criterios de normalidad establecidos.

• Operación sospechosa: aquella que, por su número, cantidad o características, no se enmarca en las prácticas normales del sector y no ha podido ser razonablemente justificada.

• Persona expuesta políticamente: la que define el Decreto 1081 de 2015 y las normas que lo modifiquen, complementen, sustituyan o adicionen, incluidas las personas expuestas políticamente extranjeras.

• Régimen de Medidas Mínimas: el conjunto de obligaciones de prevención de los riesgos regulados que el numeral 9.21 del Capítulo IX de la Circular Básica Jurídica impone a los sujetos señalados en el numeral 9.6 del mismo Capítulo.

• UIAF: la Unidad de Información y Análisis Financiero.

3. Régimen aplicable

3.1 Sujeción. Arrubla Devis está sujeta al Régimen de Medidas Mínimas de LA/FT/FP y C/ST previsto en el numeral 9.6.3 del Capítulo IX de la Circular Básica Jurídica de la Superintendencia de Sociedades, sustituido por la Circular Externa 100-000020 de 2026, por tener inscrito en el registro mercantil el código 6910 de la Clasificación Industrial Internacional Uniforme y por superar el umbral de ingresos totales allí señalado.

3.2 Verificación anual. El representante legal verifica cada año, con corte a 31 de diciembre, si Arrubla Devis continúa cumpliendo los requisitos del numeral 9.6.3, y deja constancia escrita del resultado de esa verificación.

3.3 Régimen no aplicable. Arrubla Devis no está sujeta al Sistema de Autocontrol y Gestión de Riesgos LA/FT/FP y C/ST de los numerales 9.4 y 9.5 del mismo Capítulo, que impone requisitos adicionales. Esta política y el Protocolo de Conocimiento y Vinculación de Contrapartes constituyen el Régimen de Medidas Mínimas de Arrubla Devis.

3.4 Integración de materias. La Circular Externa 100-000020 de 2026 integró en un solo capítulo la prevención del lavado de activos y la prevención de la corrupción y el soborno transnacional, que antes se gobernaban por instrumentos separados. Por esa razón esta política comprende ambas materias y sustituye los documentos que las trataban por separado.

4. Perfil de riesgo

4.1 Factores considerados. Arrubla Devis determina su exposición a los riesgos regulados a partir de la materialidad del riesgo, del tipo de negocio que desarrolla, de su tamaño, de las áreas geográficas y los países donde opera y del perfil de sus contrapartes.

4.2 Exposición. La aplicación de esos factores arroja tres rasgos definitorios:

• Arrubla Devis asesora transacciones inmobiliarias y la creación y adquisición de sociedades, actividades que el Grupo de Acción Financiera Internacional señala como de mayor riesgo cuando las presta un abogado.

• Arrubla Devis contrata con entidades públicas, lo que la expone a riesgos de corrupción local y de soborno transnacional.

• Arrubla Devis no administra dinero de terceros, lo que la excluye de la actividad de mayor riesgo del sector.

4.3 Matriz de riesgos. Arrubla Devis mantiene una matriz que identifica, califica y evalúa la materialidad de estas exposiciones. El representante legal la revisa cada año y la ajusta cuando cambien las circunstancias de la operación.

5. Responsable del régimen

5.1 Responsable. El representante legal de Arrubla Devis es el encargado y responsable de ejecutar, verificar y supervisar el Régimen de Medidas Mínimas, y su principal garante ante la Asamblea de Accionistas y ante las autoridades.

5.2 Diseño. El diseño y la implementación del Régimen de Medidas Mínimas están a cargo del representante legal, quien atiende para ello la materialidad del riesgo y las características propias de Arrubla Devis y de su actividad.

5.3 Funciones. Corresponde al representante legal:

• presentar a la Asamblea de Accionistas el proyecto de esta política y de sus actualizaciones;

• instruir a los empleados y asociados sobre los riesgos regulados y divulgar las medidas adoptadas;

• decidir sobre los hallazgos de la debida diligencia y dejar constancia escrita de cada decisión;

• registrarse ante el Sistema de Reporte en Línea de la UIAF como único responsable de los reportes de Arrubla Devis;

• presentar los reportes ante la UIAF y poner en conocimiento de la Fiscalía General de la Nación los hechos que lo exijan;

• dar respuesta oportuna a los requerimientos de información de la Superintendencia de Sociedades y de las demás autoridades; y

• rendir a la Asamblea de Accionistas un informe anual sobre la ejecución del régimen.

5.4 Recursos. La Asamblea de Accionistas dispone las medidas operativas, económicas, físicas, tecnológicas y de recursos necesarias para que el representante legal, o quien este delegue, pueda desarrollar sus labores de manera adecuada.

5.5 Delegación. El representante legal puede delegar la ejecución de tareas específicas y contratar apoyo externo. La responsabilidad no se delega.

6. Compromisos de Arrubla Devis

6.1 Abstención. Arrubla Devis no establece ni mantiene relación con una contraparte cuando existe evidencia de que sus recursos provienen de actividades ilícitas o de que está incluida en las listas vinculantes.

6.2 Prohibición de soborno. Arrubla Devis no ofrece, promete ni entrega dinero ni beneficio alguno a un servidor público, nacional o extranjero, ni a un tercero, con el fin de obtener o conservar un negocio.

6.3 Pagos y soportes. Arrubla Devis paga por servicios efectivamente prestados y contra soporte documental, y no realiza pagos a favor de quien no tiene vínculo contractual con ella.

6.4 Remuneración desproporcionada. Cuando la remuneración pactada con un contratista resulte elevada frente al servicio contratado, Arrubla Devis suministra los elementos de juicio que permitan descartar que encubra pagos indirectos de sobornos o dádivas a servidores públicos nacionales o extranjeros o a terceros, y deja constancia escrita de esa verificación.

6.5 Medios de pago. Arrubla Devis realiza sus pagos y recibe sus honorarios a través de entidades financieras, y no maneja efectivo por encima de un salario mínimo mensual legal vigente, monto reservado a la caja menor.

6.6 Cláusulas contractuales. Arrubla Devis incluye en sus contratos con clientes y proveedores una cláusula sobre prevención de los riesgos regulados.

6.7 Prohibición de represalias. Arrubla Devis no toma represalias contra quien reporte de buena fe una conducta contraria a esta política.

7. Conocimiento de las contrapartes

7.1 Debida diligencia. Antes de vincular a una contraparte, Arrubla Devis:

• la identifica y verifica su identidad con documentos, datos o información confiable de fuentes independientes;

• identifica a su beneficiario final y toma medidas razonables para verificar su identidad;

• toma medidas razonables para conocer la estructura de propiedad de la contraparte, con el fin de obtener el nombre y el número de identificación de sus beneficiarios finales;

• entiende el propósito y el carácter que se pretende dar a la relación; y

• la consulta en las listas vinculantes y en las demás listas de control que adopte.

7.2 Carácter previo. Si la debida diligencia no está completa, Arrubla Devis no vincula a la contraparte.

7.3 Imposibilidad de identificación. Cuando resulte imposible identificar a la contraparte o a su beneficiario final, el representante legal deja constancia escrita de las razones jurídicas de esa limitación, sin que ello lo exima de completar el proceso de debida diligencia después de la vinculación.

7.4 Carácter continuo. Arrubla Devis actualiza la información de cada contraparte y examina las transacciones llevadas a cabo a lo largo de la relación, para asegurar que sean consistentes con lo que conoce de la contraparte, de su actividad y de su perfil de riesgo, incluida, cuando sea necesario, la fuente de los fondos.

7.5 Constancia escrita. Toda actuación de debida diligencia queda documentada con fecha y hora y con el nombre de quien la verificó, y se conserva de forma que el representante legal, o quien este delegue, pueda consultarla y entenderla sin ayuda.

7.6 Desarrollo. El Protocolo de Conocimiento y Vinculación de Contrapartes desarrolla este capítulo y determina qué documentos se solicitan según el tipo de contraparte, con qué vigencia, quién los verifica, en qué casos se profundiza el análisis y cómo se archivan.

8. El secreto profesional como límite

8.1 Reserva. Arrubla Devis ejerce la abogacía. El artículo 74 de la Constitución Política y la Ley 1123 de 2007 amparan con reserva la información que el cliente entrega en desarrollo de la relación profesional.

8.2 Alcance. Esta política no autoriza a divulgar información amparada por el secreto profesional. Arrubla Devis cumple los deberes de reporte que la ley le impone y evalúa cada caso a la luz de esa reserva.

8.3 Análisis previo. Cuando el representante legal considere que un deber de reporte puede recaer sobre información amparada, antes de reportar analiza el alcance de la reserva en el caso concreto y deja constancia escrita de ese análisis y de la decisión que adopta.

8.4 Información no amparada. Esta regla no se aplica a la información que Arrubla Devis obtiene fuera de la relación profesional, ni a la coincidencia de una contraparte en las listas vinculantes, cuyo reporte tiene fundamento propio.

9. Reportes a las autoridades

9.1 Listas vinculantes. El representante legal reporta a la UIAF y pone en conocimiento de la Fiscalía General de la Nación la existencia de cualquier bien, activo, producto, fondo o derecho de titularidad a nombre, bajo administración o bajo control de un país, persona o entidad incluida en las listas vinculantes. Para tal fin, esas listas se consultan de forma permanente.

9.2 Detección. Arrubla Devis define, adopta y monitorea acciones y herramientas para la detección de operaciones inusuales y de operaciones sospechosas.

9.3 Operaciones sospechosas. El representante legal reporta a la UIAF, de manera inmediata, las operaciones sospechosas que detecte en el giro ordinario de los negocios o actividades de Arrubla Devis. El reporte se hace con naturaleza de reporte de operación sospechosa a través del Sistema de Reporte en Línea de la UIAF, conforme a las instrucciones del Manual de Usuario SIREL.

9.4 Naturaleza del reporte. El reporte de una operación sospechosa no constituye denuncia penal. Para presentarlo no se requiere tener certeza de que se trata de una actividad delictiva, ni identificar el tipo penal, ni verificar que los recursos tengan origen ilícito: basta con que la operación se catalogue como sospechosa en los términos de esta política. Lo anterior no exime a Arrubla Devis ni a sus administradores del deber de denunciar cuando a ello hubiere lugar.

9.5 Reserva del reporte. Arrubla Devis y el representante legal garantizan la reserva del reporte de operación sospechosa remitido a la UIAF, conforme a la Ley 526 de 1999 y a las normas que la adicionen, modifiquen o sustituyan.

9.6 Reporte de ausencia. Cuando transcurra un trimestre sin que Arrubla Devis haya presentado un reporte de operación sospechosa, el representante legal presenta el reporte de ausencia de operaciones sospechosas a través del Sistema de Reporte en Línea de la UIAF, dentro de los diez días calendario siguientes al vencimiento del respectivo trimestre, en la forma y los términos de los anexos técnicos expedidos por la UIAF.

9.7 Registro. El representante legal se registra ante el Sistema de Reporte en Línea de la UIAF como único responsable de los reportes de operaciones sospechosas y de los reportes de ausencia de operaciones sospechosas.

10. Canales de denuncia

10.1 Canal interno. Quien advierta una operación inusual o una conducta contraria a esta política la informa al representante legal. El reporte puede hacerse de forma anónima.

10.2 Reserva. Arrubla Devis conserva la reserva sobre la identidad de quien reporta.

10.3 Canales externos. Arrubla Devis divulga entre sus contrapartes y sus colaboradores el Canal de Denuncias por Soborno Transnacional de la Superintendencia de Sociedades y el canal dispuesto para denunciar actos de corrupción de la Secretaría de Transparencia de la Presidencia de la República.

11. Conservación de la información

11.1 Condiciones. Los documentos y registros del Régimen de Medidas Mínimas garantizan la integridad, oportunidad, confiabilidad, reserva y disponibilidad de la información.

11.2 Información de debida diligencia. La información obtenida en aplicación del deber de debida diligencia se conserva mientras dure la relación con la contraparte y, al menos, durante los cinco años siguientes contados a partir del primero de enero del año siguiente a aquel en que la relación termine o se efectúe la transacción ocasional, conforme al parágrafo 3 del artículo 12 de la Ley 2195 de 2022.

11.3 Demás documentos. Los demás documentos y soportes del Régimen de Medidas Mínimas, incluidos los que dieron lugar a calificar una operación como inusual o como sospechosa, se conservan por diez años contados desde la fecha del último asiento, documento o comprobante, conforme al artículo 28 de la Ley 962 de 2005.

11.4 Protección de datos personales. La conservación y el tratamiento de los datos personales que estos documentos contienen se sujetan a las Leyes 1266 de 2008 y 1581 de 2012 y a la Política de Privacidad de Arrubla Devis.

12. Divulgación y capacitación

12.1 Capacitación. El representante legal instruye al menos una vez al año a los empleados y asociados de Arrubla Devis sobre los riesgos regulados. De cada capacitación queda constancia con los nombres de los asistentes, la fecha y los temas tratados.

12.2 Divulgación. El representante legal comunica y divulga las medidas que esta política adopta para prevenir y mitigar los riesgos regulados.

12.3 Publicación. Arrubla Devis publica en su sitio web una declaración de esta política y los canales de denuncia externos.

13. Medidas disciplinarias

13.1 Régimen aplicable. El incumplimiento de esta política constituye falta disciplinaria conforme al Reglamento Interno de Trabajo y al Código de Conducta Profesional, y da lugar a las sanciones allí previstas. Si el incumplimiento configura además una conducta punible, Arrubla Devis la pone en conocimiento de la autoridad competente.

14. Aprobación, vigencia y actualización

14.1 Aprobación. La Asamblea de Accionistas aprueba esta política, en su condición de máximo órgano social, a propuesta del representante legal. Arrubla Devis no cuenta con junta directiva. La aprobación consta en el acta de la reunión correspondiente, conforme al numeral 9.21.1 del Capítulo IX de la Circular Básica Jurídica.

14.2 Entrada en vigencia. Esta política (Versión 1.0) entra en vigencia a partir de su aprobación por la Asamblea de Accionistas.

14.3 Derogatoria. Esta política deroga la Política SAGRILAFT aprobada el 1 de abril de 2026 y el Manual del Régimen de Medidas Mínimas anterior, y deja sin efecto el borrador de Régimen de Medidas Mínimas elaborado el 7 de septiembre de 2026, cuyo contenido queda incorporado en esta política.

14.4 Plazo de adecuación. Arrubla Devis debe tener ajustado su régimen a la Circular Externa 100-000020 de 2026 a más tardar el 31 de mayo de 2027. Hasta esa fecha, los instrumentos anteriores conservan validez para efectos del cumplimiento normativo.

14.5 Permanencia mínima. Si al 31 de diciembre de cualquier año Arrubla Devis dejare de cumplir los requisitos del ámbito de aplicación, seguirá obligada al Régimen de Medidas Mínimas durante un año adicional contado desde esa fecha.

14.6 Actualización. El representante legal revisa esta política cada año y propone a la Asamblea de Accionistas las modificaciones que resulten necesarias. El Protocolo de Conocimiento y Vinculación de Contrapartes lo adopta y actualiza el representante legal.