Posteriormente, el sistema de gestión de riesgos fue regulado dentro del Decreto que contiene la regulación aduanera (acusado), y actualmente, y de forma similar, algunas normas contempladas en el Decreto​ que dicta disposiciones relativas al Régimen de Aduanas: 

En virtud de Decreto señalado, el cual establece disposiciones relacionadas al Régimen de Aduanas, la Sala indicó: 

1. El artículo 583: otorga a la DIAN la potestad de utilizar prácticas y procedimientos de gestión de riesgos, para prevenir o combatir el uso o destinación del comercio que puedan afectar la seguridad nacional o las disposiciones aduaneras. “con la debida observancia de las normas sobre habeas data y manejo de información de datos personales, la Unidad Administrativa Especial Dirección de Impuestos y Aduanas Nacionales (DIAN) utilizará bases de datos que le permitan tener información, entre otros aspectos, sobre las operaciones y sobre las personas que actúan ante la Entidad, para evaluar la seguridad de la cadena logística en comercio exterior”. La sala indicó que con este texto la entidad fiscal dirigirá sus actividades de control con énfasis sobre las operaciones que representan mayor riesgo, asegurando el comercio internacional, y para ello puede implementar mecanismos de monitoreo del riesgo, establecer medidas de control de ingreso y salida de mercancías, entre otros.  

2. El artículo 584: establece los riesgos que identifica el sistema de gestión, y son los que se relacionan con las personas que intervienen en la logística de distribución y características de la operación del comercio exterior; el estado de las acreencias a favor de la DIAN; el incumplimiento de las obligaciones tributarias, aduaneras y cambiarias; entre otras. 

Adicionalmente, consideró la Sala que “las demás normas acusadas, establecen la aplicación de los criterios del sistema de gestión de riesgos en las inspecciones físicas de mercancías, y disponen tratamientos o beneficios como el concepto favorable en la autorización de exportador autorizado, el levante automático, el pago consolidado y la garantía global, y que para acceder a los mismos se tiene en cuenta la calificación del sistema de riesgos”. 

Así mismo, recordó la Alta Corporación que con la Ley 2010​ de 2019 se estableció la reserva del sistema de gestión de riesgo en su artículo 130 así: 

Sobre esta disposición, la Sala indicó que la información, criterios, procedimientos y demás instrumentos generados e implementados por la DIAN a través del Sistema de Gestión de Riesgos, tienen el carácter de información confidencial, y solo se puede acceder a estos por medio de una orden judicial y que lo mismos se encuentran en manuales internos de la DIAN.  

La Sala trajo a colación la sentencia C-175​ de 2020 de la Corte Constitucional que analizó la constitucionalidad del Decreto que adoptó medidas para establecer un procedimiento abreviado de devolución y/o compensación de saldos a favor para el impuesto sobre la renta y complementarios e -IVA, en el marco del Estado de Emergencia Económica, Social y Ecológica, aduciendo en cuanto al Sistema de Gestión de Riesgos lo siguiente: 

Es así como en este análisis normativo la Sala consideró que el sistema de gestión de riesgos de la DIAN es una herramienta interna que tiene por objeto identificar los perfiles y comportamientos atípicos, analizar y valorar datos, crear mecanismos de control, y alertas, respecto de los posibles incumplimientos en los trámites y obligaciones tributarias, aduaneras y cambiarias. 

La Alta Corporación también recordó el artículo 15 de la Constitución Política, que consagra el derecho al habeas data, definido por la Corte Constitucional como aquel “que otorga la facultad al titular de datos personales, de exigir a las administradoras de datos personales el acceso, inclusión, exclusión, corrección, adición, actualización, y certificación de los datos, así como la limitación en la posibilidades de divulgación, publicación o cesión de los mismos, conforme a los principios que informan el proceso de administración de bases de datos personales.”  

De los anteriores conceptos normativos analizados por la entidad, esta indicó que la reserva de información no resulta oponible contra el titular de la información, dado que, el derecho fundamental al habeas data protege al titular de la información personal para que tenga libre acceso a ella y si bien la información del sistema de riesgos es objeto de reserva, cuando la calificación de un determinado contribuyente o usuario aduanero sea utilizada para decidir sobre su situación jurídica particular, la restricción de la información contemplada en la norma operará frente a los documentos, base de datos, criterios, factores, procedimientos y demás herramientas del sistema de gestión de riesgos y en los casos en que la Administración tome una decisión administrativa con fundamento en la calificación del sistema, le corresponde informar los datos propios del contribuyente o el usuario aduanero, pero no los que conciernen a la administración y gestión de los riesgos. 

Conclusión: