Riesgos y Ciberseguridad

En TGI adoptamos el marco corporativo para el uso de inteligencia artificial, datos y analítica, alineado con estándares internacionales y orientado a la transformación digital del Grupo Energía Bogotá y sus filiales. Este marco define lineamientos claros para asegurar un uso responsable, seguro y ético de estas tecnologías, basados en principios de transparencia, proporcionalidad, supervisión humana y respeto por los derechos fundamentales, con el objetivo de generar valor sostenible y fortalecer la confianza de los grupos de interés.

La política definida en este marco establece compromisos concretos en materia de ética, legalidad, seguridad y gobernanza de la inteligencia artificial. Incluye exigencias sobre calidad, trazabilidad y aplicabilidad de los modelos, protección de datos personales, gestión integral de riesgos —incluida la ciberseguridad— y cumplimiento normativo. Asimismo, impulsa la consolidación de una plataforma corporativa de datos e IA, la interoperabilidad tecnológica y la generación de eficiencias operativas, bajo esquemas de control institucional y supervisión humana.

En este contexto, las capacitaciones realizadas en marzo de 2026 en Copilot Pro y Copilot Chat fueron un componente clave del despliegue controlado de IA en TGI, en coherencia con la política corporativa del GEB. Estas sesiones se enfocaron en fortalecer capacidades internas para el uso responsable, seguro y productivo de herramientas de IA generativa, aplicando buenas prácticas de seguridad de la información y reforzando principios de supervisión humana, protección de datos y uso ético. Como resultado, se avanzó en la habilitación de usuarios, la mitigación de riesgos asociados y la preparación para el escalamiento progresivo de casos de uso.

Adicionalmente, durante 2026 se desarrollaron dos mesas de trabajo corporativas —Mesa de Trabajo No. 1 y Mesa de Trabajo No. 2 de Inteligencia Artificial— con participación del corporativo y las filiales, orientadas a coordinar la implementación de la política de IA en el GEB. Estos espacios permitieron alinear criterios, definir lineamientos de adopción y consolidar un enfoque común para una implementación progresiva, gobernada y articulada en todas las compañías del grupo.

Finalmente, la implementación de la política se apoyará en un modelo de gobernanza que será definido en el transcurso del 2026. Se asignarán responsabilidades a la Alta Dirección, y a las Gerencias según los compromisos definidos, así como a las áreas de Cumplimiento y Comunicaciones y a todos los colaboradores. El modelo de gobernanza contemplará un liderazgo activo, el seguimiento permanente, mecanismos de reporte y control, y procesos de capacitación para asegurar su adopción efectiva. De esta manera avanzaremos de manera ordenada hacia la adopción responsable de la inteligencia artificial y su escalamiento en los procesos del negocio.

La supervisión del sistema de gestión de riesgos es liderada por el Comité de Auditoría, Riesgos, Talento y Gobierno Corporativo de la Junta Directiva cuyas funciones principales frente a la gestión de riesgos son:

• Recomendar a la Junta Directiva la matriz de riesgos, así como la Política de Riesgos y la metodología de cálculo del apetito de riesgo.
• Supervisar e informar periódicamente a la Junta Directiva sobre la aplicación efectiva de la matriz de riesgos de la sociedad para que los principales riesgos financieros y no financieros, incluidos los riesgos ambientales, sociales y de gobierno corporativo derivados de la estrategia de sostenibilidad adoptada por la sociedad, en balance y fuera de balance, se identifiquen, gestionen y se den a conocer a la Junta Directiva adecuada y oportunamente.

Los miembros del Comité cuentan con la experiencia y conocimientos para asistir en la gestión de riesgos del Grupo. Cada dos meses, la administración informa al equipo directivo, al Comité de Auditoría, Riesgos, Talento y Gobierno Corporativo y a la Junta Directiva sobre los riesgos estratégicos. Esto con el propósito de hacer seguimiento, ajustar y fortalecer los planes de tratamiento y tomar acciones sobre los riesgos relevantes en toda la organización.

Las funciones dedicadas a la gestión de riesgo operativo se enmarcan en el Modelo de Tres Líneas definido en la Política de Arquitectura de Control.

A través de la aplicación del Modelo Integral de Gestión de Riesgos, TGI identifica y gestiona los riesgos estratégicos y de proceso, llevando a cabo un monitoreo y control periódico en coordinación con los líderes de proceso. El control de riesgos se basa en las tres líneas del modelo de defensa, según la norma de la Confederación Europea de Institutos de Auditoría Interna (ECIIA), que define las responsabilidades hacia el Sistema de Control Interno.

Primera Línea (autocontrol, autorregulación y autogestión): corresponde a las actividades desarrolladas por cada uno de los colaboradores, incluyendo a los responsables de procesos y controles, mediante la definición y ejecución de los controles a través de políticas, procedimientos, marcos metodológicos, entre otros. La primera línea de defensa del Sistema de Control Interno se basa en tres principios clave: autocontrol, autorregulación y autogestión.

Segunda línea: se encuentran entre sí las diferentes funciones de supervisión y monitoreo desarrolladas por las áreas que realizan actividades de control de informes financieros, cumplimiento legal y regulatorio, sistemas de gestión de calidad, seguridad de la información, supervisión e inspección, y gestión de riesgos, cuando se facilita y supervisa la ejecución de las actividades de control para mitigar los riesgos

Tercera línea: corresponde a la garantía independiente a través de las actividades de auditoría interna y externa. Esta línea de defensa proporciona a los órganos de gobierno corporativo y a la alta dirección garantías razonables sobre la eficacia del gobierno corporativo, la gestión y el control de riesgos y la independencia y objetividad de la empresa.