02.1 — MANUAL SARLAFT — FINTRIXS S.A.S.

Código: SAR-001 Versión: 1.0 — 16 de abril de 2026 Aprobado por: Representación legal y máximo órgano de administración Vigencia: 24 meses (revisión anual obligatoria) Clasificación: Confidencial

---

1. Objetivo

Establecer el marco de políticas, controles y procedimientos aplicados por Fintrixs S.A.S. para la prevención, detección y reporte de operaciones asociadas al Lavado de Activos, Financiación del Terrorismo y Financiamiento de la Proliferación de Armas de Destrucción Masiva (LA/FT/FPADM), en línea con:

• Circular Básica Jurídica y Circular Externa 027 de 2020 de la SFC.
• Circular Externa 100-000016 de 2020 de la Superintendencia de Sociedades (SAGRILAFT/PTEE) — aplicabilidad gradual.
• Recomendaciones del GAFI.
• Ley 1121 de 2006, Ley 526 de 1999 y sus modificaciones.
• Listas sancionatorias OFAC, ONU, Unión Europea, INTERPOL, listas vinculantes para Colombia.

2. Alcance

Aplica a todos los empleados, contratistas, administradores, accionistas, aliados comerciales, proveedores, subcomercios y titulares que interactúan con los productos y servicios de Fintrixs, en particular dentro de la operación de la pasarela de pagos Fintrixs Pay.

3. Estructura de gobierno

Rol	Responsable	Función
Máximo Órgano de Administración	Asamblea / Junta	Aprueba el manual, políticas y presupuesto SARLAFT
Oficial de Cumplimiento (en proceso de designación)	A designar formalmente (en transición)	Vigila la implementación, reporta a la UIAF
Área de Cumplimiento	Coordina con áreas de tecnología, operaciones y legal	Ejecuta procedimientos y actualiza listas
Representante Legal	Juan Carlos Traslaviña	Rinde cuentas y asegura recursos

Nota: Mientras se formaliza la designación del Oficial de Cumplimiento (respuesta "NO" en el DD), las funciones son ejercidas por el Representante Legal con asesoría externa especializada. La designación formal se realizará previo al inicio de operaciones comerciales.

4. Etapas del SARLAFT

4.1. Identificación del riesgo

• Factores considerados: cliente/contraparte, producto, canal, jurisdicción.
• Se mantiene una matriz de riesgo LA/FT segmentada por tipo de subcomercio (MCC) y volumen transaccional esperado.

4.2. Medición del riesgo

• Escala cuantitativa/cualitativa: riesgo bajo, medio, alto, extremo.
• Evaluación al menos anual y ante eventos materiales.

4.3. Control

Controles preventivos y detectivos:

• Debida diligencia inicial (DDI) y debida diligencia intensificada (DDI+) para contrapartes de alto riesgo.
• Validación contra listas sancionatorias en el 100% de las vinculaciones y en forma periódica durante la relación: OFAC, ONU (Consejo de Seguridad), INTERPOL, listas de la Unión Europea, listas vinculantes para Colombia y listas internas.
• Monitoreo transaccional automatizado con reglas y modelos analíticos.
• Consulta de bases públicas (cámara de comercio, RUES, listas de PEP).
• Identificación de beneficiario final (UBO) para personas jurídicas.

4.4. Monitoreo

• Sistema de señales de alerta transaccional.
• Revisión periódica de perfiles transaccionales.
• Generación de reportes internos y externos (UIAF: ROS — Reporte de Operación Sospechosa; ROT — Reporte de Operaciones en Efectivo cuando aplique).

5. Conocimiento de contrapartes (KYC / KYB)

5.1. Subcomercios

Información mínima recolectada en la vinculación:

• Identificación (cédula o NIT).
• Certificado de Cámara de Comercio (para PJ).
• RUT.
• Composición accionaria y beneficiario final.
• Actividad económica y MCC.
• Referencias comerciales y bancarias.
• Declaración de origen de fondos.
• Firma de formularios de conocimiento del cliente y autorización de consultas.

5.2. Empleados, contratistas y proveedores

• Verificación de antecedentes judiciales.
• Consulta de listas restrictivas.
• Suscripción de acuerdo de confidencialidad y política anticorrupción.

5.3. Personas Expuestas Políticamente (PEP)

• Identificación mediante declaración del titular y consulta en fuentes públicas.
• Los PEP y sus vinculados quedan bajo DDI+ con monitoreo reforzado y aprobación del Representante Legal.

6. Señales de alerta

Listado no taxativo:

• Transacciones fraccionadas para evitar umbrales.
• Cambios abruptos en perfil transaccional.
• Uso de múltiples tarjetas de un mismo BIN/emisor con patrones inusuales.
• Comercios con MCC no alineados con su actividad declarada.
• Operaciones con o desde países de alto riesgo GAFI.
• Subcomercios con contracargos superiores al 1%.

7. Reporte de operaciones sospechosas

El procedimiento para el reporte a la UIAF se activa en máximo 30 días calendario desde la identificación de la operación. El ROS se gestiona vía SIREL/PLA de la UIAF. Se mantiene la reserva y confidencialidad establecidas por la Ley 526 de 1999.

8. Capacitación

• Inducción obligatoria para todo empleado nuevo (primer mes).
• Capacitación anual para todos los empleados y contratistas.
• Capacitación reforzada para áreas de vinculación, operaciones y soporte.
• Registro documental de asistencia y evaluaciones.

9. Auditoría y revisión

• Autoevaluación semestral del SARLAFT por el Oficial de Cumplimiento.
• Auditoría externa anual por firma independiente.
• Revisión del manual cada 12 meses o ante cambios normativos materiales.

10. Anexos

• Matriz de riesgo LA/FT.
• Formulario Conocimiento del Cliente (KYC/KYB).
• Formato de Declaración de Origen de Fondos.
• Procedimiento de Consulta de Listas Sancionatorias (ver documento 02.2).
• Formato de ROS interno.