Políticas SAGRILAFT

POLÍTICAS DEL SISTEMA DE AUTOCONTROL Y GESTIÓN DEL RIESGO INTEGRAL DE LAVADO DE ACTIVOS, FINANCIACIÓN DEL TERRORISMO Y FINANCIACIÓN DE LA PROLIFERACIÓN DE ARMAS DE DESTRUCCIÓN MASIVA (SAGRILAFT)

INTRODUCCIÓN

1. Contexto Transaccional y Entorno Financiero Digital

El desarrollo de las finanzas digitales, la convergencia tecnológica y la adopción de tecnologías de registro distribuido (DLT / Blockchain) han transformado profundamente los modelos de negocio globales. La irrupción de los activos virtuales (criptoactivos, stablecoins y tokens digitales) ofrece niveles sin precedentes de eficiencia, inmediatez transaccional e interoperabilidad transfronteriza. No obstante, las propiedades inherentes a este ecosistema —tales como la velocidad de liquidación, la capacidad de transferencia entre diversas jurisdicciones y los niveles de seudonimato propios de la tecnología— plantean desafíos complejos frente a la prevención y control de conductas ilícitas.

En este marco, la exposición a los riesgos de Lavado de Activos (LA), Financiación del Terrorismo (FT) y Financiación de la Proliferación de Armas de Destrucción Masiva (FPADM) representa un reto estratégico que requiere respuestas normativas, administrativas y tecnológicas de máxima exigencia.

1. Compromiso Corporativo de UTRUX ENERGY S.A.S.

Como participante dinámico en la gestión, comercialización e intermediación de activos virtuales y operaciones en moneda legal, UTRUX ENERGY S.A.S. asume la responsabilidad ética, legal y reputacional de proteger la integridad de sus operaciones y la de sus partes de interés.

La Dirección de UTRUX ENERGY S.A.S. declara con firmeza que la integridad de la empresa y el cumplimiento estricto del ordenamiento jurídico prevalecerán sobre cualquier meta comercial, volumen operativo o rentabilidad financiera. Bajo este principio fundamental, la compañía no tolerará que sus canales, servicios, infraestructura de activos virtuales o capacidad operativa en efectivo o divisas sean utilizados para dar apariencia de legalidad a recursos ilícitos, ni para canalizar fondos destinados al financiamiento de actividades delictivas o de proliferación.

1. Enfoque Basado en Riesgo

El cuerpo de políticas contenido en este documento responde a un Enfoque Basado en Riesgo (EBR), alineado con las recomendaciones internacionales del Grupo de Acción Financiera Internacional (GAFI/FATF) para Proveedores de Servicios de Activos Virtuales (PSAV / VASPs) y con las disposiciones de la Superintendencia de Sociedades y la UIAF de Colombia.

Para mitigar los riesgos específicos del sector cripto, UTRUX ENERGY S.A.S. adopta mecanismos de Debida Diligencia Reforzada (DDR), protocolos de identificación de Beneficiarios Finales (BF) y herramientas de analítica y trazabilidad blockchain. Dichas herramientas permiten la monitorización de direcciones de billeteras digitales (wallets), el análisis de la procedencia y destino de las transacciones y la detección oportuna de patrones atípicos o vínculos con plataformas no reguladas, mercados oscuros (darknet) o jurisdicciones restringidas.

1. Naturaleza y Carácter Vinculante del Documento

El presente documento reúne el conjunto de Políticas Institucionales del SAGRILAFT, constituyendo la carta magna en materia de prevención y gestión del riesgo dentro de la organización. Dichas políticas fijan los límites, prohibiciones, responsabilidades y criterios generales de actuación que deben guiar:

• El diseño e implementación de los procedimientos operativos y del Manual SAGRILAFT.
• Las decisiones comerciales, financieras y estratégicas de la Alta Dirección.
• El comportamiento cotidiano de los administradores, empleados, colaboradores y contratistas.
• El estándar de debida diligencia exigido a todos los clientes, proveedores y contrapartes.

Su cumplimiento es de carácter estricto, obligatorio y no negociable para todos los integrantes y relacionados de UTRUX ENERGY S.A.S

OBJETIVO

Establecer, formalizar y promover los principios, criterios, límites, directrices y prohibiciones institucionales que rigen la actuación de UTRUX ENERGY S.A.S., sus accionistas, administradores, empleados, colaboradores y contrapartes. Lo anterior con el fin de consolidar un marco preventivo, de detección, mitigación y control efectivo frente a la exposición a los riesgos de Lavado de Activos, Financiación del Terrorismo y Financiación de la Proliferación de Armas de Destrucción Masiva (LA/FT/FPADM) en la totalidad de sus operaciones comerciales, administrativas y financieras, abarcando transacciones en moneda nacional, divisas e intermediación o gestión con activos virtuales.

1. OBJETIVOS ESPECÍFICOS

• Garantizar la Debida Diligencia: Definir los lineamientos para la identificación, conocimiento, verificación y monitoreo continuo de clientes, proveedores, colaboradores y demás partes interesadas antes y durante la relación comercial u operativa.
• Gestionar Operaciones de Activos Virtuales : Implementar controles técnicos, herramientas tecnológicas de analítica blockchain para direcciones de billeteras digitales (wallets), y protocolos estrictos para el manejo presencial de efectivo que aseguren la trazabilidad y procedencia lícita de los fondos.
• Asegurar el Cumplimiento Normativo: Acoger los mandatos legales en Colombia (Circular Básica Jurídica de la Superintendencia de Sociedades, leyes 1121 de 2006, 1621 de 2013 y 2195 de 2022) y los estándares internacionales (GAFI/FATF y Resoluciones de Sanciones Financieras Dirigidas de la ONU).
• Fomentar la Cultura Preventiva y la Transparencia: Consolidar en la estructura organizacional una cultura institucional de reporte oportuno, reserva de información y ética corporativa, priorizando el cumplimiento del SAGRILAFT sobre cualquier interés comercial o económico.

MARCO NORMATIVO

Las presentes políticas se enmarcan y fundamentan en:

• Constitución Política de Colombia: Artículo 95, numeral 7 (Deber de colaborar con la administración de justicia).
• Leyes Nacionales: Ley 1121 de 2006, Ley 1621 de 2013 y Ley 2195 de 2022.
• Superintendencia de Sociedades: Capítulo X de la Circular Básica Jurídica (SAGRILAFT) y sus actualizaciones.
• Unidad de Información y Análisis Financiero (UIAF): Instructivos, guías y tipologías sobre el sector real y nuevas tecnologías.
• Estándares Internacionales: Recomendaciones del GAFI/FATF (especialmente la Recomendación 15 sobre Proveedores de Servicios de Activos Virtuales y la Travel Rule), recomendaciones del GAFILAT, norma ISO 31000:2018 y las Resoluciones del Consejo de Seguridad de las Naciones Unidas sobre Sanciones Financieras Dirigidas (1267, 1373, 1718, 1737, 2178 y concordantes).

ALCANCE

Las políticas institucionales, directrices y controles contenidos en este documento son de carácter general, vinculante y de cumplimiento estrictamente obligatorio en todos los niveles de la organización y frente a terceros con los que la compañía entable relaciones operativas, comerciales o contractuales.

Su ámbito de aplicación se extiende sin excepción a los siguientes componentes:

1. Ámbito Interno

Aplica de manera directa a todas las personas que integran, representan, administran o prestan servicios dentro de la estructura corporativa de UTRUX ENERGY S.A.S., independientemente de su nivel jerárquico, tipo de vinculación, modalidad de contratación o ubicación geográfica:

• Órganos de Gobierno y Alta Dirección: Socios, accionistas, miembros de la Asamblea General de Accionistas, Junta Directiva (si existiere), Representantes Legales (principales y suplentes) y Administradores.
• Oficina de Cumplimiento: Oficial de Cumplimiento Principal, Oficial de Cumplimiento Suplente y el equipo de apoyo asignado a la gestión del riesgo.
• Personal Vinculado: Todos los empleados, colaboradores directos, personal en Misión, aprendices y practicantes en todas las áreas de la empresa (operativas, financieras, comerciales, administrativas, tecnológicas y de servicio al cliente).
• Contratistas y Prestadores de Servicios: Asesores externos, consultores, auditores, desarrolladores tecnológicos y contratistas independientes que actúen en nombre de la compañía o tengan acceso a sus sistemas operativos y bases de datos.

1. Ámbito Externo (Contrapartes y Relaciones de Negocio)

Aplica a todas las personas naturales o jurídicas con las que UTRUX ENERGY S.A.S. establezca, pretenda establecer o mantenga vínculos comerciales, contractuales u operativos, obligándolas al cumplimiento de los estándares de debida diligencia e información exigidos por el SAGRILAFT:

• Clientes y Usuarios: Personas naturales o jurídicas que accedan, contraten o utilicen los productos, servicios, plataformas, pasarelas o infraestructura de la empresa para la compra, venta, intercambio, recaudo, pago, liquidación (onramp / offramp) o custodia relacionada con activos virtuales o dinero fiduciario.
• Proveedores y Aliados Estratégicos: Proveedores de bienes, servicios tecnológicos, infraestructura blockchain, liquidez, custodia, servicios financieros, banca corresponsal y socios comerciales.
• Intermediarios, Agentes y Brokers: Cualquier tercero que actúe en representación, intermediación o promoción de los servicios de UTRUX ENERGY S.A.S.

1. Ámbito Operativo, Canales y Activos

Aplica de manera integral a:

• Operaciones Financieras y Transaccionales: Todas las actividades, negocios y transacciones realizadas en moneda de curso legal / dinero fiduciario (pesos colombianos, dólares u otras divisas) y en activos virtuales (criptoactivos, stablecoins, tokens digitales o activos sobre tecnología DLT/blockchain).
• Canales de Atención y Operación: Plataformas digitales, aplicaciones móviles, sitios web, API integrations, puntos de atención o recaudo presencial, gestión y cualquier otro canal físico o virtual operado por o para UTRUX ENERGY S.A.S.

POLÍTICA DE PRIORIZACIÓN DEL SAGRILAFT Y PREVALENCIA SOBRE EL INTERÉS COMERCIAL

Principio de Prevalencia e Preeminencia Cumplimiento

Los objetivos comerciales, corporativos, de crecimiento, liquidez, rentabilidad o cuota de mercado de UTRUX ENERGY S.A.S. bajo ninguna circunstancia o escenario —incluidos períodos de alta volatilidad en los mercados de activos virtuales o exigencias de volumen operado— se antepondrán al estricto cumplimiento de las políticas, controles, metodologías y procedimientos previstos en el presente Manual del SAGRILAFT para la prevención, administración y control de los riesgos de Lavado de Activos, Financiación del Terrorismo y Financiación de la Proliferación de Armas de Destrucción Masiva (LA/FT/FPADM).

Alcance Específico para Operaciones con Activos Virtuales

Dada la naturaleza de la actividad de la compañía como Proveedor de Servicios de Activos Virtuales (PSAV / VASP) y la velocidad, seudonimato e irrefutabilidad de las transacciones sobre tecnología de contabilidad distribuida (DLT / Blockchain), la prioridad de los controles SAGRILAFT aplica obligatoriamente a:

• Onboarding y Vinculación de Clientes / Contrapartes: Ningún usuario o cliente (persona natural o jurídica) podrá realizar depósitos, retiros, compras, ventas o intercambios de criptoactivos/monedas fiduciarias sin haber completado previa y satisfactoriamente el proceso de Debida Diligencia (KYC/CDD/EDD) y el filtro contra listas restrictivas y de sanciones internacionales (OFAC, ONU, UE, entre otras).
• Cumplimiento de la Regla de Viaje (Travel Rule): La ejecución de transferencias de activos virtuales entre billeteras u otros PSAV queda supeditada al intercambio completo y verificado de la información del originador y beneficiario, primando este requisito normativo por encima del procesamiento inmediato de la transacción.
• Bloqueo y Rechazo Transaccional: La compañía priorizará la suspensión, restricción o bloqueo preventivo de billeteras, direcciones de red o cuentas cuando se detecten señales de alerta, exposición a herramientas de anonimización (mixers, tumblers, privacidad de monedas), puentes no regulados o vínculos con mercados de la red oscura (Darknet), sin importar el volumen financiero de la operación o el perfil de la contraparte.

Independencia de la Función de Cumplimiento

• Autonomía de Decisión: El Oficial de Cumplimiento y el equipo de SAGRILAFT gozan de total autonomía e independencia funcional frente a las áreas comerciales, operativas o de trading. Tienen la potestad legal y corporativa de vetar, rechazar o dar por terminada cualquier relación de negocio o transacción que presente un riesgo inaceptable o no alineado con la Declaración de Apetito de Riesgo de la empresa.
• Prohibición de Presión o Ingerencia: Queda expresamente prohibido a cualquier administrador, directivo, empleado o socio ejercer presión, injerencia o represalias sobre el Oficial de Cumplimiento o el personal asignado a la prevención de LA/FT/FPADM para flexibilizar controles o aprobar clientes/operaciones en función de metas de ventas o metas comerciales.

Inclusión en la Evaluación de Desempeño y Cultura Organizacional

• El cumplimiento de la normativa SAGRILAFT no es una responsabilidad exclusiva del Oficial de Cumplimiento, sino un deber obligatorio para todos los colaboradores de UTRUX ENERGY S.A.S.
• Ningún empleado o ejecutivo será incentivado, bonificado o evaluado favorablemente por lograr metas financieras o comerciales si ello implicó la omisión, flexibilización o evasión de los controles de prevención de LA/FT/FPADM establecidos.

Política de Atributos, Naturaleza y Estándares del SAGRILAFT

Estándares Marco y Referentes Normativos

El SAGRILAFT de UTRUX ENERGY S.A.S. se diseña e implementa bajo el principio de excelencia operativa y cumplimiento estricto, tomando como base las mejores prácticas locales e internacionales de gestión de riesgos. El sistema se fundamenta en:

• Normativa Nacional Exigible: La Circular Externa 100-000016 de la Superintendencia de Sociedades (Capítulo X) y sus actualizaciones, junto con las guías, instructivos y tipologías emitidas por la Unidad de Información y Análisis Financiero (UIAF).
• Estándares Cripto e Internacionales: Las 40 Recomendaciones del Grupo de Acción Financiera Internacional (GAFI / FATF) y GAFILAT, con especial énfasis en la Recomendación 15 aplicable a Proveedores de Servicios de Activos Virtuales (PSAV / VASPs), la Regla de Viaje (Travel Rule) y la Guía para un Enfoque Basado en Riesgo para Activos Virtuales.
• Marcos de Gestión de Riesgo: Los principios de la Norma ISO 31000:2018 (Gestión del Riesgo), asegurando un ciclo continuo de identificación, evaluación, tratamiento, monitoreo y comunicación.

Proporcionalidad, Razonabilidad y Enfoque Basado en Riesgo (EBR)

Los controles y procedimientos del SAGRILAFT son razonables, comprensivos y directamente proporcionales al tamaño, volumen de transacciones, complejidad tecnológica, diversidad de productos cripto/fiat y nivel de exposición al riesgo de la compañía.

El diseño e implementación de estos controles garantiza:

• Eficiencia Operativa: Mecanismos ágiles y claros que evitan la duplicidad de procesos, priorizando la automatización y el uso de herramientas tecnológicas para el análisis de riesgo en cadena de bloques (blockchain analytics).
• Objetividad e Imparcialidad: Criterios de evaluación estandarizados e imparciales para todas las contrapartes, evitando conductas discriminatorias o desvinculaciones injustificadas, sin descuidar el rigor técnico en las alertas de alto riesgo.

Dinamismo, Adaptabilidad e Innovación Continua

Por la naturaleza cambiante del ecosistema de activos virtuales y la constante evolución de las tipologías de delitos financieros, la arquitectura del SAGRILAFT en UTRUX ENERGY S.A.S. no es estática.

El sistema cuenta con la flexibilidad para adaptarse de forma oportuna ante nuevas tipologías delictivas, cambios en la regulación colombiana, la adopción de nuevas redes o criptoactivos en el portafolio de la empresa, o modificaciones en el perfil transaccional de los clientes.

Alcance e Integración Tecnológica

El SAGRILAFT permea todos los niveles de la organización y se integra de forma directa en la infraestructura tecnológica y plataformas operativas de la compañía. Todos los sistemas de registro, monitoreo de transacciones on-chain y off-chain, así como las herramientas de debida diligencia digital, deberán articularse con las directrices definidas por el Oficial de Cumplimiento.

POLÍTICA DE CONOCIMIENTO E IDENTIFICACIÓN DE CONTRAPARTES

Obligatoriedad del Conocimiento Previo (Sin Excepciones)

En UTRUX ENERGY S.A.S. no iniciamos ni mantenemos ninguna relación comercial, contractual, laboral u operativa —incluyendo la ejecución de transacciones con criptoactivos o moneda fiduciaria— sin haber identificado, verificado y analizado previamente a la contraparte.

El conocimiento del cliente, proveedor, colaborador o socio estratégico es la primera línea de defensa para proteger la integridad operativa y reputacional de la compañía.

Consecuencias de la Negativa a Suministrar Información

La transparencia no es negociable. Si una persona natural o jurídica se niega a entregar la información o los documentos de soporte solicitados, entrega datos falsos o inconsistentes, o intenta evadir los filtros de control, UTRUX ENERGY S.A.S. rechazará de inmediato su vinculación o suspenderá la relación existente.

Bajo ningún motivo se procesarán transacciones de contrapartes que impidan llevar a cabo el proceso completo de debida diligencia.

Formulario de Vinculación y Soportes Documentales

Toda contraparte debe completar íntegramente los formularios de vinculación o plataformas digitales de registro habilitadas por la empresa y adjuntar la documentación que acredite su identidad y actividad económica.

La profundidad de los soportes exigidos dependerá del perfil de riesgo asignado a la contraparte (Debida Diligencia Simplificada, Ordinaria o Intensificada - EDD), priorizando la identificación de factores de riesgo asociados a activos virtuales, origen de fondos y jurisdicciones de operación.

Validación, Listas Restrictivas y Beneficiario Final (BF)

Corresponde a la función de cumplimiento, liderada por el Oficial de Cumplimiento, adelantar la verificación y análisis técnico de la información suministrada. Este proceso comprende:

• Identificación del Beneficiario Final (BF): Determinación de las personas naturales que poseen o controlan, directa o indirectamente, el $5\%$ o más del capital o de los derechos de voto de la persona jurídica, o que ejerzan el control efectivo sobre la entidad.
• Consulta en Listas de Control: Filtro exhaustivo en listas restrictivas, de sanciones y de vinculación a delitos de LA/FT/FPADM (OFAC, ONU, UE, Policía Internacional, UIAF, entre otras), así como la identificación de Personas Expuestas Políticamente (PEP) y sus allegados.
• Trazabilidad del Origen de Fondos: Verificación razonable de la actividad económica y del origen lícito de los recursos o criptoactivos involucrados en la operación.

Aprobación y Decisión de Vinculación

El inicio de cualquier relación operativa o comercial queda condicionado de manera estricta al dictamen del análisis de debida diligencia.

Si durante el proceso se identifican señales de alerta no justificadas, incongruencias financieras o vínculos con actividades ilícitas (incluyendo direcciones de billeteras cripto asociadas a mercados oscuros, mezcladores o entidades no reguladas), la compañía se abstendrá de concretar la vinculación o procederá al cierre de la cuenta u operación.

Reserva, Confidencialidad y Custodia

Toda la información y documentación recolectada durante el proceso de debida diligencia se manejará bajo estrictos protocolos de confidencialidad, reserva y protección de datos personales.

Los expedientes se custodiarán en sistemas seguros garantizando su integridad, disponibilidad y conservación por un período mínimo de diez (10) años, quedando exclusivamente a disposición del Oficial de Cumplimiento y de las autoridades competentes (Superintendencia de Sociedades, UIAF, fiscalía general de la Nación, entre otras).

POLÍTICA DE GESTIÓN SOBRE FUENTES DE RIESGO Y JURISDICCIONES

Monitoreo y Gestión Integral de Fuentes de Riesgo

En UTRUX ENERGY S.A.S. entendemos que el riesgo de LA/FT/FPADM no es homogéneo. Por ello, mantenemos un control dinámico sobre los cuatro factores de riesgo tradicionales, ajustándolos a la naturaleza de los mercados de activos virtuales y las operaciones financieras:

• Clientes y Contrapartes: Evaluamos el comportamiento transaccional, la estructura societaria y los perfiles de riesgo de personas naturales y jurídicas, prestando especial atención a usuarios de alto volumen, PEP y VASP/CASP no regulados.
• Productos y Servicios: Analizamos el riesgo propio de los tipos de activos virtuales ofrecidos (tokens de utilidad, stablecoins, monedas de privacidad, entre otros), sus niveles de volatilidad y su grado de exposición a la opacidad financiera.
• Canales de Distribución: Controlamos los entornos de operación no presenciales, aplicaciones web/móviles y las integraciones mediante API, reforzándolos con tecnologías de análisis on-chain e inteligencia artificial.
• Jurisdicciones: Mantenemos identificadas las zonas geográficas que presentan debilidades en sus marcos de prevención o altos índices de criminalidad financiera.

Todas estas variables se encuentran ponderadas en la Matriz de Riesgo LA/FT/FPADM, la cual se actualiza de manera periódica y frente a cualquier cambio relevante en las operaciones o el entorno regulatorio.

Tratamiento de Jurisdicciones de Alto Riesgo y Sensibles

Los administradores, el equipo comercial y el área de cumplimiento deben aplicar medidas de Debida Diligencia Intensificada (EDD) antes de autorizar cualquier operación, vínculo o transferencia de activos fiduciarios o criptoactivos que involucre:

• Listas Internacionales y Reguladas: Países o territorios identificados por el Grupo de Acción Financiera Internacional (GAFI / FATF) como jurisdicciones de alto riesgo o bajo monitoreo intensificado (listas negra y gris).
• Territorios Sancionados: Jurisdicciones sujetas a regímenes de sanciones económicas o comerciales emitidas por la OFAC, la Organización de las Naciones Unidas (ONU) o la Unión Europea.
• Refugios de Activos Virtuales y París Fiscales: Jurisdicciones con marcos de regulación débiles o inexistentes para Proveedores de Servicios de Activos Virtuales (PSAV), o catalogadas como no cooperantes en materia fiscal.

Protocolo de Restricción y Bloqueo

Si una transacción o solicitud de vinculación proviene de o tiene como destino una jurisdicción calificada con un nivel de riesgo inaceptable según nuestra Matriz de Riesgo, UTRUX ENERGY S.A.S. aplicará la restricción automática o el rechazo de la operación.

Cualquier excepción requerirá el análisis previo del Oficial de Cumplimiento y la aprobación expresa del órgano de gobierno competente, garantizando que existan controles mitigatorios reforzados.

POLÍTICA DE GESTIÓN, CONSULTA Y MONITOREO DE WALLETS DE ACTIVOS VIRTUALES

Identificación, Atribución y Trazabilidad On-Chain

En UTRUX ENERGY S.A.S. no procesamos ni autorizamos transferencias o transacciones con activos virtuales de forma a ciegas. Toda dirección de billetera digital (wallet address) involucrada en operaciones de depósito, retiro, intercambio o custodia debe ser identificada y asociada de manera clara a una contraparte previamente vinculada.

La empresa exigirá la información necesaria para verificar la titularidad o control efectivo de las billeteras (tanto de custodia propia - self-hosted/unhosted wallets como de custodia delegada en otros VASP) y aplicará los principios de trazabilidad sobre la cadena de bloques (blockchain) para establecer el origen y destino real de los fondos.

Uso Obligatorio de Herramientas de Analítica Blockchain

Como pilar fundamental del control del riesgo tecnológico y transaccional, UTRUX ENERGY S.A.S. empleará e integrará en sus flujos operativos herramientas y software especializados en análisis forense y trazabilidad on-chain (tales como Chainalysis, Elliptic, TRM Labs o equivalentes).

Estas herramientas se utilizarán para:

• Calificación de Riesgo de Wallets: Evaluar automáticamente la puntuación de riesgo (risk score) de las direcciones antes y después de cada transacción.
• Detección de Interacción con Fuentes de Alto Riesgo: Identificar si la billetera ha tenido interacción directa o indirecta con mercados de la red oscura (Darknet markets), servicios de secuestro de datos (ransomware), plataformas de financiamiento ilícito, entidades sancionadas por OFAC/ONU o VASP no regulados.
• Filtro de Herramientas de Anonimización: Detectar y bloquear operaciones provenientes o dirigidas a mezcladores (mixers o tumblers), puentes (bridges) con altos índices de opacidad o monedas de privacidad (privacy coins).

Monitoreo Continuo, Patrones Atípicos y Regla de Viaje

El monitoreo sobre las billeteras no se limita al momento del onboarding; se ejecuta de manera continua y en tiempo real durante todo el ciclo de vida de la relación comercial:

• Detección de Conductas Inusuales: Se configurarán reglas de alerta para identificar saltos repentinos en los volúmenes transaccionales, estructuración de envíos, dispersión acelerada de fondos hacia múltiples direcciones (peeling chains) o comportamientos incoherentes con el perfil financiero del usuario.
• Cumplimiento de la Regla de Viaje (Travel Rule): Toda transferencia inter-VASP que supere los umbrales definidos por la regulación aplicable debe ir acompañada de la transmisión y verificación de los datos de identificación del originador y del beneficiario de la billetera.

Protocolo ante Direcciones de Riesgo Inaceptable

Si una billetera arroja una calificación de riesgo alto o se confirma su vinculación con actividades delictivas o listas de sanciones:

• Suspensión Automática: La transacción será rechazada o congelada de inmediato por la plataforma.
• Escalamiento: El caso será remitido al Oficial de Cumplimiento para su análisis de fondo.
• Reporte: En caso de no existir una justificación técnica u operativa válida, se procederá a estructurar y enviar el Reporte de Operación Sospechosa (ROS) ante la UIAF.

Evidencia Técnica, Registro y Conservación Documental

Todas las consultas ejecutadas en las plataformas de analítica on-chain, los informes de trazabilidad, los logs transaccionales de las billeteras y las capturas de pantalla o certificados de riesgo emitidos por el software deben archivarse en formato digital seguro.

Esta evidencia técnica formará parte del expediente del cliente/contraparte y se conservará por un período mínimo de diez (10) años, estando disponible para las auditorías internas y los requerimientos de la Superintendencia de Sociedades o las autoridades judiciales.

POLÍTICA DE CUMPLIMIENTO DE LA REGLA DE VIAJE (TRAVEL RULE)

Transmisión de Información Transaccional

En cumplimiento de las Recomendaciones del Grupo de Acción Financiera Internacional (GAFI/FATF) aplicables a Proveedores de Servicios de Activos Virtuales (PSAV/VASP), UTRUX ENERGY S.A.S. garantiza que las transferencias de activos virtuales realizadas a través de sus sistemas vayan acompañadas de la información de identificación correspondiente. La empresa obtendrá, verificará y transmitirá los datos del originador y del beneficiario en toda transacción que alcance o supere los umbrales monetarios exigidos por la regulación aplicable o por los estándares internacionales aplicados al sector.

Intercambio de Datos e Interoperabilidad entre VASP

El proceso de envío y recepción de activos virtuales entre UTRUX ENERGY S.A.S. y otros proveedores de servicios de activos virtuales se ejecutará mediante protocolos y soluciones tecnológicas seguras que garanticen la interoperabilidad, la integridad de los datos y el cumplimiento de la norma de protección de datos personales. La compañía se abstendrá de procesar transferencias con entidades que no cuenten con mecanismos de verificación equivalentes o que omitan el envío de la información mínima requerida.

Tratamiento de Billeteras Auto custodiadas (Self-Hosted Wallets)

Cuando las transferencias se realicen desde o hacia billeteras de autocustodia (direcciones sobre las cuales no interviene un VASP intermediario), UTRUX ENERGY S.A.S. aplicará procedimientos reforzados de análisis técnico y de debida diligencia.

Estos procedimientos permitirán establecer razonablemente la titularidad o el control efectivo de la billetera por parte del cliente registrado, absteniéndose de autorizar operaciones donde no sea posible verificar dicho vínculo o cuando la dirección presente niveles de riesgo inaceptables en las herramientas de analítica en cadena (blockchain analytics).

Protocolo ante Incumplimientos o Información Incompleta

En caso de recibir transferencias de activos virtuales procedentes de otros VASP que carezcan de la información requerida bajo la Regla de Viaje, el área de cumplimiento retendrá temporalmente la transacción. Si la contraparte no suministra la información dentro de los plazos establecidos, la empresa procederá al rechazo o devolución de los fondos a la dirección de origen, registrando el evento para el análisis de posibles señales de alerta o inusualidad.

POLÍTICA PARA LA GESTIÓN DE PERSONAS EXPUESTAS POLÍTICAMENTE (PEP)

Delimitación y Alcance del Concepto PEP

UTRUX ENERGY S.A.S. aplicará procedimientos diferenciados de conocimiento y debida diligencia sobre aquellas personas naturales que, por el desempeño o asignación de funciones públicas prominentes, presentan una mayor exposición al riesgo de lavado de activos, corrupción o delincuencia financiera. Se consideran dentro de esta categoría las Personas Expuestas Políticamente (PEP) de carácter nacional o extranjero, las directivas de organizaciones internacionales, así como sus familiares hasta el segundo grado de consanguinidad, segundo de afinidad, primero civil y sus asociados cercanos o cónyuges.

Proceso de Identificación y Filtro

La identificación de la condición de PEP se realizará desde el momento de la vinculación (onboarding) y de forma continua sobre la base de datos de contrapartes, mediante la consulta en fuentes públicas oficiales, registros de autoridades y herramientas especializadas de búsqueda en listas restrictivas y de control.

Aprobación por la Alta Dirección y Debida Diligencia Intensificada (EDD)

La vinculación comercial u operativa de un cliente o contraparte identificado como PEP estará sujeta a los siguientes controles obligatorios:

• Aprobación de la Alta Dirección: La relación comercial únicamente podrá ser autorizada o mantenida previa revisión e informe favorable de la Representación Legal y la Función de Cumplimiento.
• Trazabilidad del Patrimonio y Origen de Recursos: Se requerirá la presentación de soportes documentales que acrediten de manera clara el origen de los recursos financieros o activos virtuales transaccionados, así como la fuente de la riqueza general del titular.
• Monitoreo Continuo y Transaccional: Las operaciones de las contrapartes PEP estarán sujetas a un seguimiento constante, evaluando la coherencia entre sus volúmenes de transacción y el perfil financiero declarado.

POLÍTICA DE SELECCIÓN, DEBIDA DILIGENCIA Y MONITOREO DE VASP, EXCHANGES Y PROVEEDORES DE LIQUIDEZ

Evaluación Previa y Selección de Contrapartes Institucionales

UTRUX ENERGY S.A.S. comprende que la integración operacional con Proveedores de Servicios de Activos Virtuales (PSAV/VASP), casas de cambio (exchanges), custodios de criptoactivos y proveedores de liquidez (fiduciaria o digital) representa un canal crítico de exposición al riesgo. En consecuencia, la empresa no establecerá relaciones comerciales, acuerdos de enrutamiento de órdenes ni conexión operativa mediante API con contrapartes institucionales sin antes realizar una evaluación integral de su estatus legal, su gobierno corporativo y su madurez operativa.

Debida Diligencia Intensificada (EDD) sobre VASP y Proveedores de Liquidez

Antes de autorizar la apertura de cuentas o la ejecución de operaciones a través de un VASP, exchange o proveedor de liquidez, el área de cumplimiento aplicará una debida diligencia reforzada que incluirá, como mínimo, la verificación de:

• Licencias y Registro Regulatorio: Comprobación de que la entidad se encuentre debidamente registrada, licenciada o autorizada por la autoridad competente de su jurisdicción de origen (por ejemplo, registros FinCEN, MiCA, registros ante supervisores locales de PLD/CFT, entre otros).
• Robustez del Programa SAGRILAFT / AML / KYC: Evaluación del programa de prevención de la contraparte mediante la aplicación de cuestionarios especializados de cumplimiento (como el Formulario Cuestionario Wolfsberg o equivalente), confirmando la aplicación de controles para el conocimiento de clientes, beneficiarios finales y filtrado en listas restrictivas.
• Controles Tecnológicos y Regla de Viaje: Verificación de que la plataforma cuente con soluciones para dar cumplimiento a la Regla de Viaje (Travel Rule) y herramientas para el monitoreo de riesgos on-chain.
• Reputación y Jurisdicción de Origen: Confirmación de que el VASP no esté domiciliado ni opere desde jurisdicciones no cooperantes, paraísos fiscales o territorios de alto riesgo identificados por el GAFI o autoridades locales.

Prohibición de Operar con VASP No Regulados o de Alto Riesgo

Queda estrictamente prohibido a UTRUX ENERGY S.A.S. abrir cuentas, mantener liquidez o realizar enrutamiento de transacciones con:

• VASP, exchanges o entidades financieras que operen en la informalidad o carezcan de supervisión preventiva en su país de origen.
• Entidades que presten servicios o faciliten operaciones a bancos pantalla (shell banks) o a plataformas de anonimización no reguladas.
• Plataformas que mantengan calificaciones de riesgo inaceptable en las herramientas de analítica on-chain o que registren investigaciones activas por conductas delictivas.

Monitoreo Continuo y Revaluación Anual

La relación con las plataformas de intercambio y proveedores de liquidez estará sujeta a un seguimiento constante:

• Monitoreo Transaccional: Se evaluará de forma continua la calidad y trazabilidad de los activos provenientes de estas plataformas, detectando alertas ante flujos inusuales o bloqueos imprevistos de fondos.
• Actualización Periódica: El expediente de debida diligencia de cada VASP o proveedor de liquidez autorizado será revisado y actualizado al menos una (1) vez al año, o de forma inmediata ante cambios en su propiedad accionaria, modificaciones en su estatus regulatorio o eventos adversos en prensa.

POLÍTICA SOBRE OPERACIONES CON JURISDICCIONES DE ALTO RIESGO O RESTRINGIDAS

Criterios de Clasificación

Se consideran jurisdicciones de alto riesgo aquellas que cumplan con al menos uno de los siguientes criterios:

• Listas del GAFI / FATF: Jurisdicciones incluidas en la lista negra (Blacklist) o lista gris (Greylist).
• Sanciones Internacionales: Países o territorios sujetos a sanciones del Consejo de Seguridad de la Organización de las Naciones Unidas (ONU).
• Alertas Locales: Jurisdicciones señaladas explícitamente por las autoridades regulatorias colombianas.

Debida Diligencia Reforzada (DDR)

Toda transacción o relación comercial vinculada a estas jurisdicciones exigirá obligatoriamente:

• Identificación ampliada: Verificación detallada de la contraparte y la identificación plena del Beneficiario Final (UBO).
• Trazabilidad de fondos: Verificación rigurosa sobre el origen y destino de los fondos o activos involucrados.
• Aprobación de alto nivel: Aprobación previa y formal por parte del Oficial de Cumplimiento o la instancia directiva superior correspondiente.
• Monitoreo intensivo: Seguimiento y control continuo y estrecho sobre la relación comercial y sus operaciones.

Prohibición de Relación

UTRUX ENERGY S.A.S. se abstendrá estrictamente de establecer o mantener relaciones comerciales cuando:

• Existan prohibiciones o restricciones legales explícitas.
• El riesgo de LA/FT/FPADM identificado sea considerado inaceptable o resulte inimitable para la organización.

POLÍTICA PARA ACTIVIDADES ECONÓMICAS DE ALTO RIESGO

Definición y Delimitación de Sectores Sensibles

En UTRUX ENERGY S.A.S. identificamos y categorizamos como de Alto Riesgo de LA/FT/FPADM a aquellas actividades económicas, sectores productivos o modelos de negocio que, por su naturaleza, volumen de efectivo, grado de anonimato, complejidad operativa o vulnerabilidad regulatoria, presentan una mayor exposición a la delincuencia financiera.

Se consideran de alto riesgo, entre otros, los siguientes sectores:

• Minería, comercialización o explotación de minerales y metales preciosos.
• Juegos de suerte y azar, apuestas, casinos, bingos, rifas, loterías y actividades similares.
• Casas de cambio y actividades relacionadas con cambio de divisas.
• Comercialización de activos virtuales cuando no se encuentre debidamente regulada o no sea posible identificar adecuadamente a la contraparte.
• Actividades de comercio internacional con jurisdicciones de alto riesgo.
• Transporte y comercialización de valores.
• Empresas dedicadas al manejo o transporte de grandes cantidades de dinero en efectivo.
• Actividades relacionadas con armas, explosivos o material de uso restringido, cuando la normatividad lo permita.
• Organizaciones sin ánimo de lucro que, por su naturaleza, origen de recursos o ámbito de operación, requieran controles adicionales.
• Cualquier otra actividad que, de acuerdo con la evaluación de riesgos realizada por UTRUX ENERGY S.A.S. o las recomendaciones de organismos nacionales e internacionales, sea catalogada como de mayor exposición al riesgo de LA/FT/FPADM.

Enfoque Basado en Riesgo y No Discriminación

La pertenencia o vinculación de una contraparte a un sector de alto riesgo no implica una prohibición o rechazo automático (de-risking indiscriminado). Sin embargo, condiciona el inicio o mantenimiento de la relación comercial al cumplimiento estricto de protocolos de Debida Diligencia Intensificada (EDD) que permitan mitigar de forma razonable los riesgos identificados.

Requisitos y Protocolo de Debida Diligencia Intensificada (EDD)

Para vincular o realizar operaciones con contrapartes pertenecientes a sectores de alto riesgo, el área correspondiente y la Función de Cumplimiento deberán exigir y verificar:

• Licencias y Autorizaciones Legales: Copia y verificación de validez de las licencias, registros, concesiones o permisos expedidos por las autoridades reguladoras o de supervisión competentes (ej. Coljuegos, Agencia Nacional de Minería, Ministerios, reguladores financieros locales/internacionales).
• Trazabilidad y Origen Lícito de Recursos: Documentación probatoria técnica, contable y financiera que demuestre el origen real y la trazabilidad lícita de los fondos o criptoactivos involucrados (estados financieros auditados, declaraciones de renta, certificados de origen de mineral, extractos bancarios, etc.).
• Evaluación de sus Propios Controles SAGRILAFT/PAD/KYC: En el caso de contrapartes que sean a su vez intermediarios financieros o VASP, se evaluará la robustez de sus propios sistemas de prevención de lavado de activos y conocimiento del cliente.
• Visita Presencial / Inspección Digital: Verificación en sitio de la infraestructura real de la empresa y su capacidad operativa.

Aprobación Obligatoria del Oficial de Cumplimiento

Ninguna contraparte clasificada en el segmento de alto riesgo podrá ser vinculada ni operar en la plataforma o sistemas de UTRUX ENERGY S.A.S. sin la aprobación previa, formal y por escrito del Oficial de Cumplimiento.

Si la contraparte o la transacción presenta un nivel de riesgo inaceptable o no se logran subsanar las dudas sobre el origen de los recursos o la legalidad de sus licencias, el Oficial de Cumplimiento vetará o dará por terminada la relación de forma inmediata.

Monitoreo Reforzado y Periodicidad de Actualización

Las contrapartes calificadas bajo esta política estarán sujetas a:

• Monitoreo Transaccional Continuo: Revisión en tiempo real y con umbrales de alerta más estrictos para detectar comportamientos inusuales o desviaciones frente a su perfil declarado.
• Actualización Anual Obligatoria: Renovación y verificación de la totalidad de su expediente de debida diligencia de manera anual (o con mayor frecuencia si el Oficial de Cumplimiento así lo determina).

POLÍTICA SOBRE SANCIONES FINANCIERAS DIRIGIDAS Y LISTAS DE CONTROL

9.1. Monitoreo Obligatorio y Automatizado

UTRUX ENERGY S.A.S. mantiene un compromiso de cero tolerancia frente al financiamiento del terrorismo y la proliferación de armas de destrucción masiva. En consecuencia, la empresa confrontará de manera permanente, automatizada e inmediata su base de datos completa (clientes, proveedores, colaboradores, socios, beneficiarios finales y direcciones de wallets de activos virtuales) contra:

• Listas Vinculantes de la ONU: Las Listas del Consejo de Seguridad de las Naciones Unidas, con especial énfasis en las Resoluciones 1267 (1999), 1373 (2001), 1718 (2006), 1737 (2006), 2178 (2014) y sus resoluciones sucesoras y concordantes.
• Listas Restrictivas e Internacionales: La Lista OFAC (Sanciones de la Oficina de Control de Activos Extranjeros del Departamento del Tesoro de EE. UU.), listas de la Unión Europea, Interpol, la lista de la UIAF y demás bases de datos de control nacionales e internacionales.

Este cruce de información se realizará antes de concretar el onboarding o vinculación, de forma previa a la ejecución de cada transacción (fiduciaria o on-chain) y de manera periódica sobre la totalidad de la base de datos de la empresa.

Protocolo de Inmovilización Preventiva e Inmediata (Congelamiento)

En caso de identificarse una coincidencia o hit confirmado en las listas vinculantes de la ONU o ante un mandato expreso de la autoridad competente:

• Medida Cautelar: La empresa activará de forma inmediata los protocolos de congelamiento o inmovilización preventiva de fondos, servicios o activos virtuales pertenecientes o administrados por la persona o entidad sancionada, sin necesidad de notificación previa.
• Rechazo Transaccional: Se suspenderá en tiempo real cualquier intento de depósito, retiro, transferencia o intercambio asociado a la contraparte.
• Reporte de Operación Sospechosa (ROS): El Oficial de Cumplimiento estructurará y enviará de inmediato un ROS de carácter urgente ante la UIAF, comunicando simultáneamente la medida adoptada a las autoridades judiciales o administrativas pertinentes conforme a la ley colombiana.

POLÍTICA DE PREVENCIÓN Y GESTIÓN DE CONFLICTOS DE INTERÉS

Principio de Objetividad y Prohibición General

Todos los colaboradores, administradores, miembros del área comercial y personal involucrado en la arquitectura del SAGRILAFT de UTRUX ENERGY S.A.S. deben actuar con absoluta imparcialidad, ética y objetividad.

Queda estrictamente prohibido participar en la negociación, evaluación, aprobación o toma de decisiones relacionadas con la vinculación de contrapartes, aprobación de operaciones o exención de controles del SAGRILAFT cuando exista un interés personal, comercial, financiero o familiar que pueda nublar el juicio profesional o poner en riesgo la integridad de la empresa.

Alcance de los Vínculos Familiares y Económicos

Se entenderá que existe un conflicto de interés cuando la decisión o gestión beneficie o afecte directamente a:

• El colaborador o administrador.
• Familiares hasta el segundo grado de consanguinidad (padres, hijos, abuelos, nietos, hermanos).
• Familiares hasta el segundo grado de afinidad (cónyuge o compañero permanente, suegros, yernos/nueras, cuñados).
• Familiares en primer grado civil (padres adoptantes o hijos adoptivos).
• Personas jurídicas o negocios en los que el colaborador o sus familiares tengan participación accionaria, cargos de administración o intereses económicos directos.

Procedimiento y Deber de Develación Inmediata

• Obligación de Informar: Todo empleado que identifique un posible conflicto de interés deberá comunicarlo por escrito de forma inmediata al Oficial de Cumplimiento, absteniéndose de intervenir o tomar cualquier decisión en el asunto mientras se emite un dictamen.
• Conflicto del Oficial de Cumplimiento: Si la situación de conflicto involucra directamente al Oficial de Cumplimiento (Principal), este deberá excusarse formalmente, apartarse del análisis del caso y remitir el expediente al Oficial de Cumplimiento Suplente para que asuma la evaluación y decisión con total autonomía. Sino existe oficial de cumplimiento suplente, el encargado de realizar el proceso de debida diligencia será el representante legal de la empresa.
• Intervención del Máximo Órgano Social: Si el conflicto de interés involucra a un miembro de la Junta Directiva/Representación Legal o si la alerta es detectada por un tercero sobre la función de cumplimiento, el Máximo Órgano Social (Asamblea de Accionistas / Junta Directiva) designará un responsable para la gestión y decisión del caso específico.
• Registro: Toda declaración de conflicto de interés, junto con el análisis y la decisión adoptada, quedará documentada en el Registro de Conflictos de Interés bajo custodia del área de cumplimiento.

POLÍTICA DE RELACIONAMIENTO CON AUTORIDADES Y RESERVA DE INFORMACIÓN

Deber Constitucional y Colaboración Armónica con Autoridades

En UTRUX ENERGY S.A.S. asumimos con el más alto grado de responsabilidad el deber constitucional y legal de colaborar con las autoridades en la prevención y persecución de los delitos de Lavado de Activos, Financiación del Terrorismo y Financiación de la Proliferación de Armas de Destrucción Masiva (LA/FT/FPADM), conforme a lo estipulado en el artículo 95 de la Constitución Política de Colombia.

La compañía, a través de su Oficial de Cumplimiento o de la Representación Legal, atenderá de manera prioritaria, oportuna, veraz y completa los requerimientos de información, inspección o investigación expedidos por la fiscalía general de la Nación, Policía Nacional, DIJIN, UIAF, Superintendencia de Sociedades, Fuerzas Públicas y demás autoridades judiciales o administrativas competentes.

Deber de Reserva Legal Estricta

Toda la información recaudada, procesada y analizada en el marco de la operación del SAGRILAFT, así como la estructura, elaboración y envío de los Reportes de Operaciones Sospechosas (ROS) o Reportes de Ausencia de Operaciones Sospechosas ante la UIAF, está cobijada de manera absoluta por la reserva legal dispuesta en la Ley 1121 de 2006, el Código de Procedimiento Penal y las normas complementarias.

Queda estrictamente prohibido a los administradores, directivos, Oficial de Cumplimiento, colaboradores, asesores o terceros:

• Revelar, comunicar, insinuar o dar a conocer a los clientes, usuarios, contrapartes o a cualquier tercero la existencia de investigaciones, análisis internos, señales de alerta o la radicación de un ROS dirigido a la UIAF.
• Informar a los involucrados sobre solicitudes de información o requerimientos preventivos formulados por las autoridades judiciales o de inteligencia financiera.

Canal Exclusivo de Interlocución y Custodia de Comunicaciones

• Interlocutor Autorizado: La recepción, trámite, respuesta y seguimiento de las solicitudes expedidas por las autoridades en materia de prevención de LA/FT/FPADM será gestionada exclusivamente por el Oficial de Cumplimiento, garantizando la confidencialidad de la información y la trazabilidad de la entrega.
• Custodia del Expediente: Toda la correspondencia, requerimientos judiciales, oficios de la UIAF y copias de los reportes emitidos deberán archivarse de forma cifrada y bajo estrictos controles de seguridad física y digital por un período mínimo de diez (10) años, garantizando que solo el personal autorizado de la función de cumplimiento tenga acceso a dichos expedientes.

Sanciones por Infracción de la Reserva

El incumplimiento del deber de reserva legal o la divulgación no autorizada de reportes e investigaciones constituye una falta grave al reglamento interno de trabajo, causal de terminación unilateral del contrato con justa causa y dará lugar a las acciones civiles, administrativas y penales correspondientes previstas en la legislación colombiana.

POLÍTICA DE CONSERVACIÓN DOCUMENTAL Y CUSTODIA DE REGISTROS

Obligatoriedad y Alcance de la Conservación

UTRUX ENERGY S.A.S. garantiza la integridad, confidencialidad, trazabilidad y disponibilidad de todos los documentos, registros e información generados en el marco del SAGRILAFT.

Esta política abarca la totalidad de los soportes recaudados durante los procesos de conocimiento del cliente y debida diligencia, las evidencias del monitoreo transaccional y los documentos administrativos del sistema.

Término Mínimo de Conservación

En concordancia con el marco normativo de la Superintendencia de Sociedades (Circular Externa 100-000016), el Código de Comercio colombiano y la Ley 1121 de 2006, todos los expedientes y registros deberán conservarse por un período mínimo de diez (10) años, contados a partir de:

• La fecha de finalización o terminación de la relación comercial, contractual u operativa con la contraparte.
• La fecha de ejecución de la transacción ocasional o del evento analizado.

Inventario Documental Sujeto a Custodia

Estarán amparados obligatoriamente bajo esta política:

• Expedientes de Debida Diligencia (KYC/CDD/EDD): Formularios de vinculación, certificados de existencia y representación legal (Cámara de Comercio), RUT, documentos de identidad, listados de Beneficiarios Finales (BF), informes de visita presencial e inspecciones.
• Evidencia Técnica y Blockchain: Reportes de análisis on-chain, logs transaccionales, consultas en software de analítica de wallets, registros de cumplimiento de la Regla de Viaje (Travel Rule) e historial de direcciones de activos virtuales.
• Gestión del Oficial de Cumplimiento: Informes periódicos presentados a la Junta Directiva o Máximo Órgano Social, actas de aprobación/rechazo de contrapartes de alto riesgo, evaluaciones de riesgo (Matriz LA/FT/FPADM) y registros del plan de capacitación.
• Análisis y Reportes de Inusualidad: Expedientes de análisis de operaciones inusuales o sospechosas, actas internas de decisión y acuses de recibo de los Reportes de Operaciones Sospechosas (ROS) enviados a la UIAF.

Calidad, Medios de Almacenamiento y Seguridad

• Formatos Admitidos: La conservación podrá realizarse en medios físicos y/o digitales. Cuando se utilicen repositorios digitales o en la nube, se asegurará la digitalización certificada, la inalterabilidad de los archivos, el cifrado de datos en reposo y en tránsito, y la existencia de copias de respaldo (backups) periódicas.
• Disponibilidad para Autoridades: Los sistemas de archivo deben garantizar que cualquier expediente pueda ser recuperado de manera oportuna y completa ante requerimientos de la Superintendencia de Sociedades, la UIAF, la Fiscalía General de la Nación u órganos de control.

Disposición Final y Destrucción Segura

Una vez cumplido el término legal de diez (10) años y siempre que no exista una investigación judicial, administrativa o requerimiento pendiente sobre la contraparte o transacción, la empresa podrá proceder a la supresión o destrucción segura de los documentos, bajo la supervisión del Oficial de Cumplimiento y mediante actas que certifiquen la eliminación confidencial de la información.

POLÍTICA DE RÉGIMEN SANCIONATORIO E INCUMPLIMIENTO

Calificación de la Infracción y Principio de Cero Tolerancia

En UTRUX ENERGY S.A.S. el cumplimiento del SAGRILAFT es de carácter imperativo y vinculante para todos los colaboradores, administradores, directivos, contratistas y terceros vinculados a la organización.

La inobservancia, omisión, evasión, negligencia o incumplimiento de las políticas, controles, metodologías, procedimientos y deberes establecidos en el Manual SAGRILAFT será calificada como una falta grave contra las obligaciones laborales y contractuales, así como una práctica insegura y no autorizada por la compañía.

Consecuencias Disciplinarias y Laborales

De conformidad con el Código Sustantivo del Trabajo, el Reglamento Interno de Trabajo (RIT) y las cláusulas establecidas en los contratos de trabajo o prestación de servicios, el incumplimiento de las normas de prevención de LA/FT/FPADM dará lugar a las siguientes medidas disciplinarias, según la gravedad de la falta y el debido proceso:

• Llamado de Atención Escrito: Con copia a la hoja de vida para faltas menores asociadas a la extemporaneidad en diligenciamientos o registros sin impacto directo en la evaluación del riesgo.
• Suspensión Temporal del Contrato: Conforme a las escalas de sanción definidas en el Reglamento Interno de Trabajo.
• Terminación Unilateral del Contrato de Trabajo con Justa Causa: Sin lugar a indemnización, de acuerdo con lo previsto en el artículo 62 del Código Sustantivo del Trabajo, en los casos en que la omisión o violación de controles ponga en riesgo la integridad, continuidad operativa o reputación de la empresa (ej. omisión en consulta de listas, evasión de KYC, ocultamiento de operaciones inusuales o incumplimiento del deber de reserva / tipping-off).
• Rescisión Contractual para Comerciales y Proveedores: Cancelación inmediata de los contratos de prestación de servicios, corretaje, alianza o provisión, sin perjuicio de las ejecuciones de garantías o penalidades a que haya lugar.

Responsabilidad Administrativa, Civil y Penal

Las sanciones internas aplicadas por UTRUX ENERGY S.A.S. se ejercerán de forma independiente y sin perjuicio de las acciones legales adicionales que deban adelantarse ante las autoridades estatales competentes:

• Responsabilidad Penal: La conducta omisiva o dolosa que facilite o configure los delitos de Lavado de Activos, Financiación del Terrorismo, Financiamiento de la Proliferación o Delitos Sustrato, será denunciada de inmediato ante la fiscalía general de la Nación (Código Penal Colombiano).
• Responsabilidad Administrativa y Financiera: La Superintendencia de Sociedades y la UIAF podrán imponer multas e inhabilitaciones personales a los administradores y al Oficial de Cumplimiento que incumplan los deberes de implementación y reporte legalmente exigidos.
• Responsabilidad Civil: La empresa iniciará las demandas de reparación de perjuicios para indemnizar los daños materiales, reputacionales o sancionatorios causados a la organización a raíz del incumplimiento del colaborador o tercero.

Aplicación del Debido Proceso

Toda medida disciplinaria o sanción derivada de infracciones al SAGRILAFT respetará las garantías constitucionales del debido proceso, el derecho a la defensa y la contradicción. Corresponderá al área de Gestión Humana, la Representación Legal y el área Jurídica, con el concepto técnico del Oficial de Cumplimiento, adelantar las diligencias de descargos y la ejecución de las sanciones correspondientes.

POLÍTICA DE CANAL DE DENUNCIAS (WHISTLEBLOWING) Y PROTECCIÓN AL DENUNCIANTE

Nuestro Compromiso con la Integridad y la Transparencia

En UTRUX ENERGY S.A.S. creemos firmemente que la confianza, la ética y el respeto son la base de todo lo que hacemos. Sabemos que construir un entorno seguro y transparente es una tarea de todos los días y de todo el equipo.

Por eso, impulsamos una cultura donde hablar a tiempo, señalar lo que no está bien y reportar cualquier irregularidad no solo sea bienvenido, sino protegido. Si ves o sospechas de alguna conducta que vaya en contra de la ley, de nuestras políticas de prevención (LA/FT/FPADM) o de nuestros valores, queremos que tengas la tranquilidad de contárnoslo.

¿Qué Situaciones Deben Reportarse?

Esta política está abierta para que colaboradores, directivos, clientes, proveedores o cualquier tercero vinculado a la empresa puedan informar, de buena fe, sobre situaciones como:

• Intentos o actos de Lavado de Activos, Financiación del Terrorismo o Financiamiento de la Proliferación.
• Inobservancia o evasión deliberada de los controles del SAGRILAFT (como omitir la debida diligencia de un cliente, ignorar alertas en transacciones en efectivo o saltearse la revisión de billeteras cripto).
• Soborno, corrupción, entrega o recepción de dádivas o pagos indebidos.
• Conflictos de interés no declarados que afecten la toma de decisiones.
• Manipulación, alteración o destrucción de información, registros contables o expedientes de clientes.
• Uso indebido de los recursos, marcas o infraestructura de la compañía.

Canales Habilitados para Denunciar

Para garantizar que te sientas cómodo y seguro al momento de compartir una inquietud, hemos dispuesto canales directos, confidenciales y de fácil acceso:

1. Correo Electrónico Exclusivo: Puedes escribir directamente al buzón confidencial administrado por el área de Cumplimiento al correo compliance@tranferx.com.co
2. Formulario Web / Buzón Digital: A través de la sección "Línea Ética" en nuestra plataforma digital, donde podrás dejar tu reporte de forma guiada.
3. Comunicación Presencial o Escrita: Puedes solicitar una reunión privada con el Oficial de Cumplimiento o radicar una carta en sobre cerrado dirigido a la Función de Cumplimiento bajo el rotulo "Personal y Confidencial".

Confidencialidad y Opción de Anónimo

Entendemos que dar el paso de reportar una situación puede generar dudas o temor. Por ello, garantizamos:

• Opción de Anonimato: Tienen la libertad de presentar su denuncia de forma 100% anónima si así lo prefieren.
• Estricta Confidencialidad: Si deciden identificarte, su nombre y datos personales serán tratados bajo reserva absoluta. Únicamente las personas encargadas de investigar el caso tendrán acceso a la información, y solo en la medida en que sea estrictamente necesario para esclarecer los hechos.

Garantía de No Represalias (Protección al Denunciante)

En UTRUX ENERGY S.A.S. prohibimos categóricamente cualquier tipo de represalia contra quien presente una denuncia o colabore de buena fe en una investigación interna.

Esto significa que ningún empleado, directivo o contratista sufrirá despidos, sanciones disciplinarias, degradación de puesto, acoso laboral, discriminación o afectación en sus condiciones de trabajo por haber usado esta línea ética.

Cualquier intento de represalia contra un denunciante será considerado una falta grave e inaceptable, y dará lugar a la terminación inmediata del contrato de quien la ejerza, sin perjuicio de las acciones legales aplicables.

POLÍTICA DE PROTECCIÓN DE DATOS PERSONALES Y PRIVACIDAD EN EL SAGRILAFT

Principio de Transparencia, Respeto y Custodia de la Información

UTRUX ENERGY S.A.S. reconoce la importancia de la privacidad, la confidencialidad y el manejo ético de la información personal de sus clientes, colaboradores, proveedores y demás contrapartes. La gestión de los datos personales dentro de la organización se realiza bajo estándares estrictos de seguridad y cumplimiento normativo, garantizando que la información recolectada sea tratada con la misma rigurosidad técnica empleada en la prevención de delitos financieros.

Finalidad de la Recopilación de Datos para el SAGRILAFT

De conformidad con la Circular Externa 100-000016 de la Superintendencia de Sociedades y los instructivos emitidos por la UIAF, UTRUX ENERGY S.A.S. tiene la obligación legal de adelantar procesos de conocimiento del cliente y debida diligencia.

En este contexto, la recolección de datos personales en los procedimientos de Debida Diligencia (KYC/CDD/EDD) responde exclusivamente a las siguientes finalidades:

• Verificar y validar la identidad de las personas naturales, representantes legales y Beneficiarios Finales (BF).
• Confirmar la legalidad de las actividades económicas y el origen lícito de los fondos o criptoactivos involucrados en las operaciones.
• Realizar cotejos en listas restrictivas, de sanciones y de control de vinculación obligatoria (ONU, OFAC, UIAF, entre otras).
• Cumplir con las exigencias técnicas del ecosistema de activos virtuales, tales como el monitoreo de trazabilidad on-chain y el intercambio de información bajo la Regla de Viaje (Travel Rule).

Equilibrio entre Privacidad y Obligaciones Legales

El tratamiento de la información personal dentro de UTRUX ENERGY S.A.S. se rige por el equilibrio entre el derecho a la privacidad y el cumplimiento de los deberes legales de prevención del riesgo de LA/FT/FPADM:

• Prohibición de Comercialización: La información personal, financiera o de activos virtuales recolectada por la empresa no será vendida, alquilada ni compartida con terceros para fines publicitarios, comerciales o de mercadeo.
• Uso Limitado: Los datos procesados en el marco del SAGRILAFT se destinarán de manera exclusiva a la evaluación de riesgos, la prevención de actividades ilícitas y el funcionamiento operativo autorizado de la plataforma.
• Excepción de Reserva Legal: El deber de reserva sobre la información solo cederá ante requerimientos formales formulados por autoridades judiciales, administrativas o de inteligencia financiera (como la fiscalía general de la Nación, la UIAF o la Superintendencia de Sociedades), de acuerdo con los procedimientos previstos en la ley.

Medidas de Seguridad y Custodia de la Información

Para evitar el acceso no autorizado, la pérdida, alteración o uso indebido de los datos personales, UTRUX ENERGY S.A.S. implementa controles de seguridad en múltiples niveles:

• Seguridad Digital y Cifrado: Los datos personales, documentos de soporte y registros de transacciones se almacenan en infraestructura tecnológica segura con protocolos de cifrado tanto en tránsito como en reposo.
• Acceso Restringido: El acceso a los expedientes del SAGRILAFT está estrictamente limitado al Oficial de Cumplimiento y al personal analista autorizado de la función de cumplimiento.
• Acuerdos de Confidencialidad: Todos los colaboradores y proveedores tecnológicos de la empresa están vinculados por acuerdos formales de confidencialidad y reserva de la información.

Período de Conservación Documental

En concordancia con las normas de prevención de lavado de activos y el Código de Comercio colombiano, UTRUX ENERGY S.A.S. conservará los expedientes de debida diligencia, consultas en listas y soportes transaccionales por un término mínimo de diez (10) años, contados a partir de la finalización de la relación comercial o contractual.

Transcurrido dicho período, y en ausencia de investigaciones o requerimientos pendientes por parte de las autoridades, la empresa procederá a la supresión o destrucción segura de los datos de acuerdo con los protocolos establecidos.

Derechos de los Titulares de la Información

Los titulares de los datos personales conservan en todo momento el derecho de conocer, actualizar, rectificar y consultar la información que reposa en las bases de datos de la empresa, sin perjuicio de las limitaciones temporales establecidas por la ley para la conservación de registros del SAGRILAFT.

Para el ejercicio de estos derechos, la empresa dispone del canal de atención exclusivo a través del correo electrónico de protección de datos: habeasdata@utruxenergy.com, el cual será gestionado por el área responsable conforme a los términos de la Ley 1581 de 2012.

POLÍTICA DE DIVULGACIÓN, CAPACITACIÓN Y CULTURA ORGANIZACIONAL

Programa Anual de Capacitación Continua

UTRUX ENERGY S.A.S. diseñará, implementará y mantendrá actualizado un Programa Anual de Capacitación en materia de prevención y control de los riesgos de Lavado de Activos, Financiación del Terrorismo y Financiamiento de la Proliferación de Armas de Destrucción Masiva (LA/FT/FPADM).

Este programa estará dirigido a la totalidad de los colaboradores, administradores, miembros del área comercial, operativa y de tecnología, adaptando los contenidos técnicos al nivel de responsabilidad y exposición al riesgo de cada rol dentro de la organización.

Inducción, Periodicidad y Evaluación de Conocimientos

La participación en las jornadas de formación sobre el SAGRILAFT es de carácter obligatorio y se gestionará bajo las siguientes directrices:

• Proceso de Inducción: Todo nuevo colaborador que ingrese a la compañía deberá recibir la formación inicial del SAGRILAFT como requisito previo o simultáneo al inicio de sus funciones operativas.
• Periodicidad Anual: La empresa impartirá sesiones de reentrenamiento con una frecuencia mínima de una (1) vez al año, mediante modalidades presenciales, virtuales o híbridas.
• Evaluación de Conocimiento: Cada módulo formativo incluirá evaluaciones teóricas y prácticas para verificar la asimilación del contenido, la comprensión de los controles internos y el reconocimiento de señales de alerta en activos virtuales y efectivo. Las calificaciones formarán parte del expediente laboral del empleado.

Promoción de la Cultura de Cumplimiento

El Oficial de Cumplimiento, con el apoyo de la Alta Dirección, promoverá de manera permanente una cultura organizacional basada en la ética, la integridad y el cumplimiento de las normas. Para ello, UTRUX ENERGY S.A.S. difundirá boletines informativos, actualizaciones regulatorias, tipologías delictivas emergentes (con énfasis en el ecosistema de criptoactivos) y recordatorios sobre los canales internos de denuncia y consulta.

Acuerdos de Confidencialidad con Contrapartes

Como parte de los procesos de registro, vinculación (onboarding) y debida diligencia de clientes, proveedores y aliadas comerciales, UTRUX ENERGY S.A.S. exigirá la firma obligatoria de Acuerdos o Cláusulas de Confidencialidad y Reserva de la Información.

Estos compromisos jurídicos garantizan la debida protección, custodia y no divulgación no autorizada de la información sensible, técnica, comercial o de datos personales intercambiados durante la relación contractual o la evaluación operativa