Issuu

Capacitación Función de Cumplimiento Normativo

ustarizabogados.com

Gobierno Corporativo

u s t a r i z a b o g a d o s . c o m

Definición e importancia de los esquemas de Gobierno Corporativo.

No es una definición pacífica… En

estricto,

describe

como

la “Organización Colectiva de las Decisiones”, también podemos anotar que es el “sistema con que las sociedades cotizadas son eficazmente administradas y controladas”; sin embargo, quedaríamos cortos como quiera que el término es más complejo de lo mencionado.

u s t a r i z a b o g a d o s . c o m

Objetivo del Gobierno Corporativo

Los proveedores de capital, llámense corporaciones o individuos, de los sectores de pensión, bancos, o incluso gobierno requieren que sus inversiones estén protegidas y sean productivas. Los esquemas de gobierno corporativo no son otra cosa que los mecanismos a través de los cuales se aseguran tales propósitos.

u s t a r i z a b o g a d o s . c o m

Objetivo del Gobierno Corporativo

En otras palabras: El Gobierno Corporativo tiene como objetivo fundamental la creación de valor para el accionista, mediante la maximización de la cotización de acciones, a través de mecanismos de control internos que equilibren los intereses de los accionistas y directores, como medio de defensa de los intereses generales de la empresa.

u s t a r i z a b o g a d o s . c o m

Problemáticas

Descenso de confianza en los mercados ✓ Posible existencia de conflictos de interés ✓ Negociación con intereses propios ✓ Asimetrías de poder entre accionistas controlantes y minoritarios

Problema de agencia ✓ Separación entre propiedad y control ✓ Decisiones gerenciales ➔ RIESGO ➔ accionistas ✓ Incremento de riesgo moral derivado de la apropiación indebida de recursos

u s t a r i z a b o g a d o s . c o m

Importancia del Gobierno Corporativo

Mejor desempeño en general de la empresa.

La habilidad de atraer capital a bajo costo.

La habilidad de cumplir con las expectativas de la sociedad.

La eficiencia con la que la entidad utiliza sus activos.

u s t a r i z a b o g a d o s . c o m

Pilares del Gobierno Corporativo Justicia Transparencia Responsabilidad Cumplimiento u s t a r i z a b o g a d o s . c o m

¿Cómo se logran? La definición de estándares

La adecuada protección de los derechos de los accionistas. Mayor protección de los derechos de los accionistas u s t a r i z a b o g a d o s . c o m

Caso Colombiano - Regulación • Ley 964 de 2005. • Decreto 2555 de 2010. • Decreto 3923 de 2006. Regula la elección de los miembros independientes de las juntas directivas de los emisores de valores. • Circular Externa 28 de 2014. Presenta el Nuevo Código País y adopta el Reporte de Implementación del Código. • Capítulo V- Código País.

u s t a r i z a b o g a d o s . c o m

Caso Colombiano - Regulación •

Capítulo VI- Prácticas inseguras y no autorizadas.

•

Decreto 1925 de 2009. "Por medio del cual se reglamenta parcialmente el artículo 23 de la Ley 222 de 1995, y demás normas concordantes, en lo relativo a conflicto de interés y competencia con la sociedad por parte de los administradores de la sociedad".

•

Decreto 1486 de 2018. Mediante el cual se regula los conflictos de interés de los conglomerados financieros

•

Decreto 046 de 2024. “Por el cual se reglamenta parcialmente el artículo 23 de la Ley 222 de 1995, en lo relativo al conflicto de intereses y competencia de los administradores, y la aplicación del principio de deferencia al criterio empresarial"

u s t a r i z a b o g a d o s . c o m

Caso Colombiano – Objetivos de la Regulación

✓ Generar confianza y transparencia al mercado en general ✓ Eliminar asimetrías de información entre administradores e inversionistas ✓ Incentivar el flujo de recursos entre compañías demandantes de financiamiento e inversionistas ✓ Minimizar prácticas contrarias a la ética exigible a los administradores, en defensa de los intereses de los accionistas minoritarios ✓ Otorgar un papel más preponderante al accionista

u s t a r i z a b o g a d o s . c o m

Caso Colombiano – Regulación Resolución 275 de 2001

Ley 43 de 1990 Contempla aspectos fundamentales de la auditoría respecto de las personas que ejecutan las auditorías; las relativas a la ejecución del trabajo y a la ejecución de informes.

Se introdujeron conceptos tales como:

Ley 222 de 1995

Incluye el Código de Ética

Decreto 3923 de 2006 A través de este Decreto se regula la elección de los miembros independientes de las Juntas Directivas de los Emisores de valores.

El Título I del Capítulo IV establece las normas relacionadas a las obligaciones, responsabilidades y prohibiciones de los Órganos Sociales de las Sociedades Comerciales

Principio de publicidad de los acuerdos entre accionistas frente al mercado público de valores. Responsabilidades del Representante Legal frente a la estructuración de un adecuado sistema de control y revelación de información. Junta Directiva: se regularon ciertos temas frente a este órgano, tales como los miembros mínimos, miembros independientes, suplencias y prohibiciones. Comité auditoria: se establecieron medidas en cuanto a la conformación del comité de auditoría y sus funciones.

u s t a r i z a b o g a d o s . c o m

Caso Colombiano – Regulación

Decreto 3923 de 2006

Circular Externa 028 de 2007

Mediante esta Circular, la SFC emitió el Código de Mejores Prácticas Corporativas, conocido como el "Código País", el cual está dirigido a los emisores de valores y constituye una guía de prácticas corporativas que buscan elevar los estándares de gobierno corporativo en las sociedades que cotizan en la bolsa.

Mediante esta Circular, la SFC emitió el Código de Mejores Prácticas Corporativas conocido como Código País, el cual está dirigido a los emisores de valores y constituye una guía de prácticas corporativas que buscan elevar los estándares de gobierno corporativo en las sociedades que cotizan en la bolsa.

Puntos Clave:

Es de adopción voluntaria. Por tanto, no tiene fuerza vinculante.

Adopción Voluntaria: El código no vinculante y su adopción es voluntaria.

Principio de "Cumpla o Explique": Si un emisor no cumple con el código, puede explicar al mercado las razones.

Decreto 1925 de 2009 Mediante este Decreto se reglamenta el artículo 23 (Deberes de los Administradores) de la Ley 222 de 1995 y demás normas relacionadas a conflictos de interés y competencia con la sociedad por parte de los administradores de la esta.

Principio “Cumpla o Explique”. Se trata de medidas de adopción voluntaria y en caso de no cumplirse el emisor podrá explicar al mercado.

u s t a r i z a b o g a d o s . c o m

Caso Colombiano – Regulación

Ley 1474 de 2011 Es el Estatuto Anticorrupción. Tiene medidas administrativas, penales y disciplinarias frente a los actos de corrupción pública. Importancia de las funciones de revisor fiscal y auditoría frente a la información contable que se elabore.

Decreto 1486 de 2018 En este Decreto, el Gobierno precisa las reglas para determinar la calidad de vinculados a los conglomerados financieros y que de esta forma puedan identificar y administrar los conflictos de interés. Prevé los deberes de información, de obtener decisión, de revelación y de transparencia. El holding financiero administra los conflictos de interés, por medio de la Junta Directiva

Decreto 046 de 2024 El Gobierno Nacional emitió el Decreto 046 que, el cual supone un hito en materia de conflicto de intereses de los administradores, ya que agrega tres temas que no estaban claros en la normativa vigente: (i) el concepto y alcance de conflicto de interés y competencia, (ii) el procedimiento detallado para la autorización ante la asamblea general de accionistas y (iii) la autorización general de acciones y actividades recurrentes.

Ley 2195 de 2022 Mediante esta Ley se adoptan medidas en materia de transparencia, prevención y lucha contra la corrupción por parte de las sociedades. u s t a r i z a b o g a d o s . c o m

Caso Colombiano – CBJ Capítulo III Título I Parte I –Gobierno CorporativoEn este Capítulo se desarrollan y regulan los siguientes temas:

Estructura Organizacional Básica de las Entidades Vigiladas. a. Asamblea General de Accionistas. b. Junta Directica y Miembros de Administración. c. Miembros de los Consejos de Administración de las Cooperativas Financieras. d. Representación Legal.

Estructura Organizacional de los Intermediarios de Valores. a. Junta Directiva o quien haga sus veces. b. Representante Legal. c. Órganos de Control.

Revisoría Fiscal a. Funciones y responsabilidades de la revisoría fiscal. b. Pautas relacionadas con la elección del revisor fiscal, ejercicio y entrega del cargo. c. Normas de auditoría generalmente aceptadas.

u s t a r i z a b o g a d o s . c o m

Caso Colombiano – CBJ Capítulo III Título I Parte I –Gobierno CorporativoEn este Capítulo se desarrollan y regulan los siguientes temas:

Prácticas ilegales, no autorizadas e inseguras de los Emisores de Valores en relación a: a. La representación de sus accionistas en las asambleas. b. Las medidas correctivas y de saneamiento..

Conjunto de políticas, principios, normas, procedimientos, mecanismos de verificación y evaluación que deben implementar las entidades vigiladas.

Este Capítulo tiene como finalidad fomentar la transparencia y ética empresarial al interior de las entidades vigiladas.

u s t a r i z a b o g a d o s . c o m

Introducción al sistema de control interno.

u s t a r i z a b o g a d o s . c o m

Sistema de Control Interno –Definición

uía externa del riesgo de conducta Guía externa para la supervisión del riesgo de conducta

Es el conjunto de políticas, principios, normas, procedimientos, mecanismos de verificación y evaluación que deben implementar las entidades vigiladas, donde intervienen y participan los órganos de gobierno y control, así como todos sus funcionarios, con el fin de proporcionar un grado de seguridad razonable en el cumplimiento de los objetivos estratégicos.

u s t a r i z a b o g a d o s . c o m

Sistema de Control Interno –Algunos conceptos importantes. Alta Gerencia –AG-: personas del más alto nivel jerárquico en el área administrativa de la sociedad encargadas de idear, ejecutar y controlar los objetivos y estrategias de la misma. Marco de Gestión de Riesgos de los Conglomerados Financieros: el MGR es un marco que le permite al holding financiero administrar los riesgos propios del conglomerado financiero y tener un conocimiento general de los riesgos de las entidades que conforman un conglomerado financiero.

El Modelo Estándar de Control Interno-MECI: proporciona una estructura de CONTROL de la gestión, que especifica los elementos necesarios para construir y fortalecer el Sistema de Control Interno.

u s t a r i z a b o g a d o s . c o m

Sistema de Control Interno –Objetivos Guía externa para la supervisión del riesgo de conducta

Mejorar la eficiencia y eficacia en las operaciones desarrolladas por las entidades vigiladas. Prevenir y mitigar la ocurrencia de fraudes internos y externos. Realizar una gestión adecuada de los riesgos. Aumentar la confiabilidad y oportunidad en la información generada. Cumplir la normatividad aplicable.

Proteger los activos de la organización. Prevenir y mitigar la ocurrencia de actos de corrupción. u s t a r i z a b o g a d o s . c o m

Sistema de Control Interno –Ámbito de aplicación

uía externa del riesgo de conducta externa para supervisión del riesgo de matrices conducta EsGuía aplicable a todas laslaentidades vigiladas, ya sean o subordinadas.

- Las nuevas disposiciones del SCI señalan que éste debe estar acorde con el perfil de riesgo, el plan de negocio, la naturaleza, el tamaño y la complejidad de las actividades que desarrollen, así como con el entorno económico y los mercados en los que operan. - El nuevo SCI indica que las EV que pertenecen al sector público deberán adoptar el enfoque establecido en el Modelo Estándar de Control Interno (MECI), sin perjuicio del cumplimiento de las nuevas instrucciones de la CE 008 de 2023 que le sean aplicables.

u s t a r i z a b o g a d o s . c o m

Sistema de Control Interno –Principios Guía externa para la supervisión del riesgo de conducta

Autocontrol Consisten en que los funcionarios de las EV deben evaluar y controlar su trabajo, detectar desviaciones y adoptar correctivos en el ejercicio y cumplimiento de sus funciones.

Autorregulación

Autogestión

Las EV deben desarrollar métodos, normas y procedimientos internos que permitan la implementación y mejoramiento del SCI.

Las EV deben tener capacidad para coordinar, ejecutar y evaluar de manera efectiva el funcionamiento del SCI.

u s t a r i z a b o g a d o s . c o m

Sistema de Control Interno – Modelo de 3 líneas

Es un modelo que corresponde al enfoque que se tiene ahora en 6 principios clave: i)

Estructurar el gobierno de la organización;

ii)

Establecer los roles dentro del órgano de gobierno;

iii)

Definir responsabilidades para alcanzar objetivos tanto en primera como en segunda línea;

iv)

Establecer los roles de tercera línea como auditoría interna;

La auditoría interna es independiente;

vi)

Creación y protección del valor.

u s t a r i z a b o g a d o s . c o m

Sistema de Control Interno – Modelo tres líneas. Guía externa para la supervisión del riesgo de conducta

La primera línea: Funcionarios encargados de identificar los riesgos asociados a las actividades que ejecuta la EV en desarrollo de su operación e implementar los controles necesarios.

La segunda línea: Funcionarios encargados de evaluar la gestión de riesgos, identificación de los controles para la mitigación de los riesgos y verificación de controles y el aporte de su conocimiento especializado para el direccionamiento de la EV.

La tercera línea: Funcionarios encargados de ejecutar actividades de aseguramiento y asesoría independiente y en donde tengan un área de auditoría interna u órgano que haga sus veces, las funciones de la tercera línea serán desempeñadas por esta Área, conforme al numeral 4.5. de la P1, Tit I Cap IV de la CBJ de la SFC.

Líneas de rendición de cuentas: Las EV deben definir líneas de rendición de cuentas internas y externas. La primera y segunda línea deben responder ante la Alta Gerencia. La tercera línea debe responder ante la JD y ante el comité de auditoría. u s t a r i z a b o g a d o s . c o m

Sistema de Control Interno –Componentes Ambiente de Control: Es el conjunto de políticas, normas internas, objetivos, Guía externa para procedimientos, la supervisiónestructuras del riesgo de conducta jerárquicas y de gobierno al que se encuentra sujeto el personal de las EV en el desempeño de las funciones relacionadas con el SCI Gestión de Riesgos: Es la gestión de los riesgos asociados a sus actividades de acuerdo con las instrucciones en materia de SARLAFT, el Marco de Gestión de Riesgos (MGR), el SIAR y el SARE contenidas en la Circular Básica Jurídica y en la Circular Básica Contable y Financiera de la SFC. Actividades de Control: Actividades que contribuyen a garantizar la correcta aplicación del SCI en las EV. Se deben realizar en todos los niveles de las EV, en las diferentes etapas de los procesos del negocio y en el entorno tecnológico.

Información y Comunicación: Es el proceso para el intercambio de información entre las EV y los diferentes grupos de interés, internos y externos. Actividades de Seguimiento y Monitoreo: Son las autoevaluaciones internas,

evaluaciones internas y externas que deben realizar las EV. u s t a r i z a b o g a d o s . c o m

Sistema de Control Interno –Ambiente de control • Brinda una importancia adicional a la Auditoría Interna dentro del Ambiente de Control debido a que se debe implementar un Guía externa para la supervisión del riesgo de conducta Estatuto de Auditoría, el cual debe definir sus funciones y rol dentro del organigrama, así como la definición del Plan Anual de Auditoría, una política de aseguramiento y mejorad de la calidad de ésta. • Dentro de la estructura de los componentes del Ambiente de Control se incluye el Presupuesto Anual asignado y aprobado para la ejecución de las actividades. • Se incluye la elaboración y aprobación de un Plan Estratégico, adicional al Plan Estratégico de Tecnología (PETI). • La nueva norma no incluye a las Evaluaciones Independientes como un elemento del SCI, estas evaluaciones se contemplan en las evaluaciones externas dentro de las actividades de seguimiento y monitoreo. u s t a r i z a b o g a d o s . c o m

Sistema de Control Interno –Gestión de Riesgos Guía externa para la supervisión del riesgo de conducta

El componente de gestión de riesgos en el nuevo SCI no entra a describir con detalle las actividades que deben ser realizadas, sino que se limita a definir la Gestión de Riesgos y a referenciar las normas que deben tenerse en cuenta, como es lo relativo con el SARLAFT previstas en la CBJ; instrucciones en materia de gestión de riesgos establecidas en el Marco de Gestión de Riesgos de los Conglomerados Financieros –MGRmencionado, el Sistema Integral de Administración de Riesgos –SIAR- y el Sistema de Administración de Riesgos de las Entidades Exceptuadas del SIAR –SARE. u s t a r i z a b o g a d o s . c o m

Sistema de Control Interno –Actividades de control

Guía externa para la supervisión del riesgo de conducta El enfoque del SCI es general, se divide en 5 controles principales para el desarrollo de actividades y funciones de los diferentes funcionarios de la EV: (i) control de alto nivel; (ii) control general; (iii) control de aplicación; (iv) control sobre la tecnología; (v) control sobre la gestión contable y financiera. A partir de las modificaciones que se pueden presentar en las dinámicas del negocio, el nuevo SCI implementado por las EV debe propiciar unas condiciones de adaptabilidad que permitan desarrollo de actividades y controles que respondan a las nuevas necesidades.

u s t a r i z a b o g a d o s . c o m

Sistema de Control Interno –Información y comunicación. - La política de información y comunicación que de deben tener las EV tiene Guía externa para la supervisión del riesgo conducta un enfoque claramente dirigido a los grupos de interés o “stakeholders”, dividiéndolos entre internos y externos, en atención a su importancia y criticidad. - Este enfoque de grupos de interés busca establecer los criterios de selección de información para definir a qué grupo de interés y de qué manera deberá estar dirigida la política de información y comunicación. Particularmente, se deben definir las reglas que garanticen el acceso en igualdad de condiciones a los grupos de interés externos. - Se hace énfasis importante en los canales de información que debe establecer la EV para la recepción de quejas, incluyendo las garantías mínimas de protección que debe existir, elemento que había sido incluido en el anterior SCI en 2019 a través de la CE 007 de 2019. u s t a r i z a b o g a d o s . c o m

Sistema de Control Interno – Actividades de seguimiento y monitoreo

uía externa del riesgo de conducta Guía externa para la supervisión del riesgo de conducta

Evaluaciones y autoevaluaciones internas. Es obligatorio realizarlas periódicamente.

Evaluaciones externas. Son opcionales.

u s t a r i z a b o g a d o s . c o m

Sistema de Control Interno – Componentes Política Financiera y Contable Guía externa para la supervisión del riesgo de conducta

Corresponde a los lineamientos para la preparación de la información financiera y demás informes que reflejan la situación financiera y los resultados de las EV, atendiendo las disposiciones aplicables. Plan Estratégico de Tecnología Debe contemplar como mínimo, los siguientes aspectos: a. Evaluación del estado actual de la infraestructura tecnológica de la EV. b. Cronograma de actividades y objetivos que se ejecutarán en el corto, mediano y largo plazo en materia de desarrollos tecnológicos. c. Capacitaciones de personal y usuarios para la implementación de los desarrollos, en caso de ser aplicable. d. Mecanismos para la mitigación del riesgo operacional y de ciberseguridad asociados a la implementación y al funcionamiento de los desarrollos tecnológicos. e. Justificación técnica y financiera de los desarrollos a implementar, indicando su prioridad e impacto en las actividades de la entidad. u s t a r i z a b o g a d o s . c o m

Sistema de Control Interno – Funciones Junta Directiva.

Ambiente de control: Responsabilidades tendientes a la aprobación de documentos y políticas (Vr.g código de ética y conducta, todas las políticas y reglamentos, el estatuto d uía externa del riesgo de conducta auditoría interna, presupuesto anual, planes estratégicos) y a la asignación del auditor interno.

Guía externa para la supervisión del riesgo de conducta

Gestión de riesgos: Funciones relacionadas al seguimiento de actividades de mitigación de riesgos y seguimiento del SCI.

Actividades de control: Funciones relacionadas a la revisión y seguimiento del desempeño financiero y operacional de la entidad, asegurar el establecimiento por parte de la Administración de procesos que permitan la identificación y cambios que tengan impacto en el SCI y, reunirse con el revisor fiscal, auditor interno y administración.

Información y comunicación: Funciones relacionadas a la solicitud y presentación de informe de funcionamiento y evaluación del SCI a la asamblea general ordinaria.

Actividades de seguimiento y monitoreo: Funciones relacionadas a la autoevaluación, evaluación y seguimiento de la gestión de riesgos. Así mismo, definir acciones para solucionar hallazgos y seguimiento cada 6 meses a la gestión de riesgos y las medidas adoptadas para su control y mitigación.

u s t a r i z a b o g a d o s . c o m

Sistema de Control Interno – Funciones Alta Gerencia.

uía externa del riesgo de conducta

Ambiente de control: Funciones relacionadas a monitorear la implementación y cumplimiento del plan Guía externa para la supervisión del riesgo de conducta estratégico; velar porque los responsables de las funciones de control sean idóneos; monitoreo el cumplimiento de las políticas que definen del ambiente de control y seguimiento de los planes de acción a los hallazgos identificados en las evaluaciones internas y externas.

Gestión de riesgos: Funciones relacionadas a garantizar la comunicación efectiva entre todas las partes de interés de la EV; informar a la JD sobre el funcionamiento y disponibilidad de los sistemas de información y comunicación de la EV; comunicación de las políticas y decisiones adoptadas por la JD a todos los funcionarios; suministro de información a los entes de control; monitorear el funcionamiento de los controles y la entrega con la antelación definida de la información a la JD y demás órganos de gobierno. -Actividades de seguimiento y monitoreo: Funciones relacionadas a garantizar la comunicación efectiva entre todas las partes de interés de la EV; informar a la JD sobre el funcionamiento y disponibilidad de los sistemas de información y comunicación de la EV; comunicación de las políticas y decisiones adoptadas por la JD a todos los funcionarios; suministro de información a los entes de control; monitorear el funcionamiento de los controles y la entrega con la antelación definida de la información a la JD y demás órganos de gobierno. u s t a r i z a b o g a d o s . c o m

uía externa del riesgo de conducta Guía externa para la supervisión del riesgo de conducta

Introducción a la ciberseguridad.

u s t a r i z a b o g a d o s . c o m

Seguridad y calidad para la realización de operaciones

Criterios respecto de la seguridad de la información:

Criterios respecto de la calidad de la información:

• Confidencialidad.

• Efectividad.

• Integridad.

• Eficiencia.

• Disponibilidad.

• Confiabilidad.

u s t a r i z a b o g a d o s . c o m

Seguridad y calidad para la realización de operaciones Requerimientos generales – seguridad y calidad de la información 1

Disponer de hardware, software y equipos de telecomunicaciones, así como de los procedimientos y controles necesarios, que permitan prestar los servicios y manejar la información en condiciones de seguridad y calidad.

Gestionar la seguridad de la información, para lo cual pueden tener como referencia el estándar ISO 27000, o el que lo sustituya.

Disponer que el envío de información confidencial y de los instrumentos para la realización de operaciones a sus clientes, se haga en condiciones de seguridad. Cuando dicha información se envíe como parte de, o adjunta a un correo electrónico, mensajería instantánea o cualquier otra modalidad de comunicación electrónica, ésta debe estar cifrada.

Dotar de seguridad la información confidencial de los clientes que se maneja en los equipos y redes de la entidad.

Velar porque la información enviada a los clientes esté libre de software malicioso.

u s t a r i z a b o g a d o s . c o m

Seguridad y calidad para la realización de operaciones

Proteger las claves de acceso a los sistemas de información. En desarrollo de esta obligación, las entidades deben evitar el uso de claves compartidas, genéricas o para grupos. La identificación y autenticación en los dispositivos y sistemas de cómputo de las entidades debe ser única y personalizada.

Dotar a sus terminales, equipos de cómputo y redes locales de los elementos necesarios que eviten la instalación de programas o dispositivos que capturen la información de sus clientes y de sus operaciones.

Velar porque los niveles de seguridad de los elementos usados en los canales no se vean disminuidos durante toda su vida útil.

Ofrecer los mecanismos necesarios para que los clientes tengan la posibilidad de personalizar las condiciones bajo las cuales realicen operaciones monetarias por los diferentes canales, siempre y cuando éstos lo permitan. En estos eventos se puede permitir que el cliente inscriba las cuentas a las cuales realizará transferencias, registre las direcciones IP fijas y el o los números de telefonía móvil desde los cuales operará.

u s t a r i z a b o g a d o s . c o m

Seguridad y calidad para la realización de operaciones

Ofrecer la posibilidad de manejar contraseñas diferentes para los instrumentos o canales, en caso de que éstos lo requieran y/o lo permitan.

Establecer los mecanismos necesarios para que el mantenimiento y la instalación o desinstalación de programas o dispositivos en las terminales o equipos de cómputo sólo pueda ser realizado por personal debidamente autorizado.

Establecer procedimientos para el bloqueo de canales o de instrumentos para la realización de operaciones, cuando existan situaciones o hechos que lo ameriten o después de un número de intentos de accesos fallidos por parte de un cliente, así como las medidas operativas y de seguridad para la reactivación de los mismos.

Elaborar el perfil de las costumbres transaccionales de cada uno de sus clientes y definir procedimientos para la confirmación oportuna de las operaciones monetarias que no correspondan a sus hábitos. u s t a r i z a b o g a d o s . c o m

Seguridad y calidad para la realización de operaciones 14 Realizar una adecuada segregación de funciones del personal que administre, opere, mantenga y, en general, tenga

la posibilidad de acceder a los dispositivos y sistemas usados en los distintos canales e instrumentos para la realización de operaciones. En desarrollo de lo anterior, las entidades deben establecer los procedimientos y controles para el alistamiento, transporte, instalación y mantenimiento de los dispositivos usados en los canales de distribución de servicios.

15 Definir los procedimientos y medidas que se deben ejecutar cuando se encuentre evidencia de la alteración de los dispositivos usados en los canales de distribución de servicios financieros.

16 Sincronizar todos los relojes de los sistemas de información de la entidad involucrados en los canales de distribución. Se debe tener como referencia la hora oficial suministrada por la Superintendencia de Industria y Comercio.

17 Tener en operación sólo los protocolos, servicios, aplicaciones, usuarios, equipos, entre otros, necesarios para el desarrollo de su actividad.

18 Contar con controles y alarmas que informen sobre el estado de los canales, y además permitan identificar y corregir las fallas oportunamente.

u s t a r i z a b o g a d o s . c o m

Seguridad y calidad para la realización de operaciones 19

Incluir en el informe de gestión a que se refiere el art. 47 de la Ley 222 de 1995 –modificado por el art. 1 de la Ley 603 de 2000-, un análisis sobre el cumplimiento de las obligaciones enumeradas en la presente Circular.

Considerar en sus políticas y procedimientos relativos a los canales de distribución, la atención a personas con discapacidades físicas, con el fin de que no se vea menoscabada la seguridad de su información.

Los establecimientos de crédito deben adoptar mecanismos que le permitan atender las operaciones de los consumidores financieros, por los canales que resulten necesarios y por las cuantías que determine razonables, para garantizar un nivel mínimo de prestación de sus servicios a los consumidores financieros, cuando la entidad opere fuera de línea.

Los establecimientos de crédito deben enviar trimestralmente a la SFC, a la dirección de correo riesgooperativo@superfinanciera.gov.co, un informe sobre la disponibilidad mensual de cada uno de los canales por medio de los cuales presta sus servicios en el que se incluya el detalle de la metodología utilizada para el cálculo de la disponibilidad. Se entiende por disponibilidad el porcentaje de tiempo que durante el mes el canal estuvo habilitado para la prestación del servicio. u s t a r i z a b o g a d o s . c o m

Seguridad y calidad para la realización de operaciones

23. Las entidades vigiladas deben informar a la SFC a la dirección de correo riesgooperativo@superfinanciera.gov.co, los eventos que afecten de manera significativa la confidencialidad, integridad o disponibilidad de la información manejada en los sistemas que soportan los canales de atención al cliente, haciendo una breve descripción del incidente y su impacto. Los incidentes se deben reportar tan pronto se presenten. Así mismo, deben remitir la información de la que trata el subnumeral 3.5.1. del Capítulo I del Título III de la Parte I de la CBJ.

u s t a r i z a b o g a d o s . c o m

Seguridad y calidad para la realización de operaciones

Constancia de las operaciones realizadas mediante canales (2 años). Evaluación de cumplimiento de servicios por parte de órganos de control. Informes trimestrales sobre disponibilidad y número de operaciones realizadas en cada uno de los canales de distribución. Debe ser conservada por un término de 2 años.

Donaciones: generación y entrega de soporte, incluyendo valor de donación y nombre del beneficiario. Conservación de soportes y documentos donde se hayan establecido compromisos y las condiciones de prestación de servicios por 2 años. Registro de consultas realizadas por funcionarios de entidad sobre información confidencial de los clientes (2 años).

Registro de actividades adelantadas sobre dispositivos finales a cargo de la entidad, usados en canales de distribución de servicio, cuando se realice su alistamiento, transporte, mantenimiento, instalación y activación.

Constancia de cumplimiento de obligación de información a los clientes sobre medidas de seguridad a tener en cuenta en las operaciones por cada canal. Grabar llamadas realizadas por los clientes a los centros de atención telefónica cuando consulten o actualicen información (conservación por 2 años). u s t a r i z a b o g a d o s . c o m

Seguridad y calidad para la realización de operaciones Requerimientos especiales - Oficinas

Los sistemas informáticos deben contar con soporte del fabricante o proveedor, y los sistemas operativos utilizados deben tener niveles de seguridad adecuados para proteger el acceso controlado. Además, se deben instalar cámaras de video que cubran al menos el acceso principal y las áreas de atención al público, y las imágenes capturadas deben conservarse por 6 meses.

La información que viaja entre oficinas y sitios centrales debe estar cifrada utilizando hardware específico, software, o una combinación de ambos. En los establecimientos de crédito, el hardware o software empleados deben ser totalmente independientes de otros dispositivos o elementos de procesamiento de información. Siempre se debe emplear cifrado fuerte, y las entidades deben evaluar regularmente la efectividad y vigencia de los mecanismos de cifrado adoptados.

Se deben implementar mecanismos para evitar que personas no autorizadas atiendan a clientes en nombre de la entidad, establecer procedimientos seguros y eficientes para la atención al cliente, y mantener a los clientes informados. Además, es necesario contar con equipos como lectores de códigos de barras, contadores de billetes y monedas, y PIN Pad que cumplan con condiciones de seguridad y calidad.

u s t a r i z a b o g a d o s . c o m

Seguridad y calidad para la realización de operaciones Requerimientos especiales – Cajeros automáticos 1. Contar con sistemas de video grabación que asocien los datos y las imágenes de cada operación monetaria. Las imágenes deben ser conservadas por lo menos 6 meses o en el caso en que la imagen respectiva sea objeto o soporte de una reclamación, queja, o cualquier proceso de tipo judicial, hasta el momento en que sea resuelto. 2. Cuando el cajero automático no se encuentre físicamente conectado a una oficina, la información que viaja entre este y su respectivo sitio central de procesamiento se debe proteger utilizando cifrado fuerte, empleando para ello hardware de propósito específico independiente. Las entidades deben evaluar con regularidad la efectividad y vigencia del mecanismo de cifrado adoptado. 3. Los dispositivos utilizados para la autenticación del cliente o usuario en el cajero deben emplear cifrado.

u s t a r i z a b o g a d o s . c o m

Seguridad y calidad para la realización de operaciones Requerimientos especiales – Cajeros automáticos 4. Implementar el intercambio dinámico de llaves entre los sistemas de cifrado, con la frecuencia necesaria para dotar de seguridad a las operaciones realizadas. 5. Los sitios donde se instalen los cajeros automáticos deben contar con las medidas de seguridad físicas para su operación y estar acordes con las especificaciones del fabricante. Adicionalmente, deben tener mecanismos que garanticen la privacidad en la realización de operaciones para que la información usada en ellas no quede a la vista de terceros. 6. Implementar mecanismos de autenticación que permitan confirmar que el cajero es un dispositivo autorizado dentro de la red de la entidad. 7. Estar en capacidad de operar con las tarjetas a que aluden el subnumeral 2.3.4.12.11 del Capítulo I del Título II de la Parte I de la CBJ de la SFC.

u s t a r i z a b o g a d o s . c o m

Seguridad y calidad para la realización de operaciones Requerimientos especiales – Cajeros automáticos 8. Contar con mecanismos que permitan a la entidad emisora del instrumento de pago reversar automáticamente los retiros realizados en cajeros, en territorio nacional, cuando el dinero no haya sido entregado por causas que sean atribuibles al funcionamiento del mismo y que sean conocidas por la entidad. En este caso se debe informar al consumidor financiero, por cualquier medio expedito, que la entidad procederá a realizar la reversión. En ningún caso la entidad podrá cobrar por la operación ni debitar ningún concepto asociado a la misma. Adicionalmente, contar con mecanismos que permitan reversar el cobro realizado a consumidores financieros por operaciones fallidas en cajeros automáticos. Para estos efectos se entiende por operaciones fallidas cuando el consumidor financiero no recibe el servicio que demandó por cualquier razón. De igual forma debe informar al consumidor financiero, por cualquier medio expedito, que la entidad procederá a realizar la reversión del cobro, la cual deberá realizarse a más tardar dentro de los 2 días hábiles (en el caso de operaciones realizadas en territorio nacional) y 5 días hábiles (en el caso de operaciones realizadas por fuera del territorio nacional) siguientes a la realización del mismo. 9. Adoptar los procedimientos necesarios para permitir, en su red de cajeros, el retiro en una sola operación del monto máximo diario establecido por la entidad según su evaluación de riesgos correspondiente, o por el cliente cuando éste sea menor al establecido por la entidad. u s t a r i z a b o g a d o s . c o m

Seguridad y calidad para la realización de operaciones Requerimientos especiales – Receptores de cheques

Contar con mecanismos que identifiquen y acepten los cheques, leyendo automáticamente, al menos, los siguientes datos: la entidad emisora, el número de cuenta y el número de cheque. Los cheques o documentos no aceptados por el módulo para recepción de cheques no pueden ser retenidos y deben ser retornados inmediatamente al cliente o usuario, informando la causa del reintegro.

Una vez el cliente o usuario deposite el cheque, el sistema debe mostrar una imagen del mismo y la información asociada a la operación monetaria, para confirmar los datos de la misma y proceder o no a su realización. En caso negativo debe devolver el cheque o documento, dejando un registro de la operación.

Como parte del procedimiento de consignación del cheque se le debe poner una marca que indique que éste fue depositado en el módulo.

u s t a r i z a b o g a d o s . c o m

Seguridad y calidad para la realización de operaciones Requerimientos especiales – Receptores de dinero en efectivo

Contar con mecanismos que verifiquen la autenticidad y denominación de los billetes. Totalizar el monto de la operación con los billetes aceptados y permitir que el cliente o usuario confirme o no su realización. En este último caso se debe devolver la totalidad de los billetes entregados, generando el respectivo registro.

Las operaciones en efectivo deben realizarse en línea, afectando el saldo de la respectiva cuenta. La operación no debe quedar sujeta a verificación. Los billetes no aceptados no pueden ser retenidos y deben ser retornados inmediatamente al cliente o usuario.

u s t a r i z a b o g a d o s . c o m

Seguridad y calidad para la realización de operaciones Requerimientos especiales – POS (incluye PIN Pad)

La lectura de tarjetas solo debe hacerse a través de la lectora de los datáfonos y los PIN Pad. Cumplir el estándar EMV (Europay MasterCard VISA).

Los administradores de las redes de este canal deben validar automáticamente la autenticidad del datáfono que se intenta conectar a ellas, así como el medio de comunicación a través del cual operará.

Establecer procedimientos que le permitan a los responsables de los datáfonos en los establecimientos comerciales, confirmar la identidad de los funcionarios autorizados para retirar o hacerle mantenimiento a los dispositivos.

Velar porque la información confidencial de los clientes y usuarios no sea almacenada o retenida en el lugar en donde los POS estén siendo utilizados. Contar con mecanismos que reduzcan la posibilidad de que terceros puedan ver la clave digitada por el cliente o usuario. u s t a r i z a b o g a d o s . c o m

Seguridad y calidad para la realización de operaciones Requerimientos especiales – Sistemas de audio respuesta (IVR)

Permitir al cliente confirmar la información suministrada en la realización de la operación monetaria. Permitir transferir la llamada a un operador, al menos en los horarios hábiles de atención al público. Las entidades que permitan realizar operaciones monetarias por este canal, deben ofrecer a sus clientes mecanismos fuertes de autenticación.

u s t a r i z a b o g a d o s . c o m

Seguridad y calidad para la realización de operaciones Requerimientos especiales – Centro de atención telefónica (Call Center, Contact Center) Destinar un área dedicada exclusivamente para la operación de los recursos necesarios en la prestación del servicio, la cual debe contar con los controles físicos y lógicos que impidan el ingreso de personas no autorizadas, así como la extracción de la información manejada. Impedir el ingreso de dispositivos que permitan almacenar o copiar cualquier tipo de información, o medios de comunicación, que no sean suministrados por la entidad. Dotar a los equipos de cómputo que operan en el centro de atención telefónica de los elementos necesarios que impidan el uso de dispositivos de almacenamiento no autorizados por la entidad. Igualmente, se debe bloquear cualquier tipo de conexión a red distinta a la usada para la prestación del servicio. Garantizar que los equipos de cómputo destinados a los centros de atención telefónica solo sean utilizados en la prestación de servicios por ese canal.

u s t a r i z a b o g a d o s . c o m

Seguridad y calidad para la realización de operaciones Requerimientos especiales – Centro de atención telefónica (Call Center, Contact Center) En los equipos de cómputo usados en los centros de atención telefónica no se debe permitir la navegación por internet, el envío o recepción de correo electrónico, la mensajería instantánea, ni ningún otro servicio que permita el intercambio de información, a menos que se cuente con un sistema de registro de la información enviada y recibida. Estos registros deben ser conservados por lo menos 6 meses o en el caso en que la información respectiva sea objeto o soporte de una reclamación, queja, o cualquier proceso de tipo judicial, hasta el momento en que sea resuelto. u s t a r i z a b o g a d o s . c o m

Seguridad y calidad para la realización de operaciones Requerimientos especiales – Centro de atención telefónica (Call Center, Contact Center) Las entidades también podrán prestar los servicios del Centro de atención telefónica (Call Center, Contact Center) a través de colaboradores ubicados por fuera de las instalaciones exclusivas a las que hace referencia el subnumeral 2.3.4.7.1, previo el análisis de riesgo y la implementación de las medidas de control para: a. b. c. d.

Preservar la confidencialidad, integridad y disponibilidad de la información. Mitigar el riesgo de: i) extracción, almacenamiento o copia de la información manejada y ii) uso de dispositivos o medios de comunicación que no sean suministrados por la entidad para la prestación del servicio. Impedir: i) el uso o conexión a redes distintas a las autorizadas para la prestación del servicio y ii) que se destinen los dispositivos y medios de comunicación para actividades distintas a la prestación de los servicios por este canal. Fortalecer el monitoreo sobre las operaciones realizadas con productos cuya información haya sido gestionada en estas áreas.

En aquellos eventos en que los equipos de cómputo permitan el envío o recepción de correo electrónico, mensajería instantánea, o cualquier otro servicio que permita el intercambio de información, las entidades deben contar con un sistema de registro de la información enviada y recibida, y conservar dichos registros por un periodo mínimo de 6 meses. En el caso en que la información respectiva sea objeto o soporte de una reclamación, queja o forme parte de un proceso judicial o una actuación extrajudicial, se deberá conservar hasta el momento en que la reclamación o queja se resuelva, o el proceso o actuación finalice. Para efectos del presente subnumeral, se entiende por colaboradores el personal que preste los servicios del Centro de atención telefónica (Call Center, Contact Center) en cualquiera de las modalidades contratadas por la entidad vigilada para la atención parcial o total de sus consumidores financieros a través de este canal. u s t a r i z a b o g a d o s . c o m

Seguridad y calidad para la realización de operaciones Requerimientos especiales – Sistemas de acceso remoto para clientes (RAS) Entendido como el acceso brindado por las entidades vigiladas a sus clientes para la realización de operaciones mediante el uso de aplicaciones personalizadas, utilizando generalmente enlaces dedicados. Las entidades que ofrezcan servicio de acceso remoto para la realización de operaciones monetarias deben contar con un módulo de seguridad de hardware para el sistema, que cumpla al menos con el estándar de seguridad FIPS-140-2 (Federal Information Processing Standard), el cual debe ser de propósito específico (appliance) totalmente separado e independiente de cualquier otro dispositivo o elemento de procesamiento de información, de seguridad informática, de transmisión y/o recepción de datos, de comunicaciones, de conmutación, de enrutamiento, de gateways, de servidores de acceso remoto (RAS) y/o de concentradores. u s t a r i z a b o g a d o s . c o m

Seguridad y calidad para la realización de operaciones Requerimientos especiales – Internet Implementar los algoritmos y protocolos necesarios para brindar una comunicación segura.

Realizar como mínimo 2 veces al año una prueba de vulnerabilidad y penetración a los equipos, dispositivos y medios de comunicación usados en la realización de operaciones monetarias por este canal. Sin embargo, cuando se realicen cambios en la plataforma que afecten la seguridad del canal, debe realizarse una prueba adicional. Promover y poner a disposición de sus clientes mecanismos que reduzcan la posibilidad de que la información de sus operaciones monetarias pueda ser capturada por terceros no autorizados durante cada sesión. Establecer el tiempo máximo de inactividad, después del cual se debe dar por cancelada la sesión, exigiendo un nuevo proceso de autenticación para realizar otras operaciones. u s t a r i z a b o g a d o s . c o m

Seguridad y calidad para la realización de operaciones Requerimientos especiales – Internet Informar al cliente, al inicio de cada sesión, la fecha y hora del último ingreso a este canal. Implementar mecanismos que permitan a la entidad financiera verificar constantemente que no sean modificados los enlaces (links) de su sitio web, ni suplantados sus certificados digitales, ni modificada indebidamente la resolución de sus DNS. Contar con mecanismos para incrementar la seguridad de los portales, protegiéndolos de ataques de negación de servicio, inyección de código malicioso u objetos maliciosos, que afecten la seguridad de la operación o su conclusión exitosa. Las entidades que permitan realizar operaciones monetarias por este canal deben ofrecer a sus clientes mecanismos fuertes de autenticación. u s t a r i z a b o g a d o s . c o m

Seguridad y calidad para la realización de operaciones Requerimientos especiales – Nuevos canales Cumplimiento de instrucciones generales de seguridad y calidad. Análisis de riesgos del nuevo canal. Debe ser puesto en conocimiento de la junta directiva y los órganos de control. La entidad debe remitir a la SFC, con al menos 15 días calendario de antelación a la fecha prevista para el inicio de la distribución de servicios a través del nuevo canal, la siguiente información: 1. Descripción del procedimiento que se adoptará para la prestación del servicio. 2. Tecnología que utilizará el nuevo canal. 3. Análisis de riesgos y medidas de seguridad y control del nuevo canal. 4. Planes de contingencia y continuidad para la operación del canal. 5. Plan de capacitación dirigido a los clientes y usuarios, para el uso del nuevo canal, así como para mitigar los riesgos a los que se verían expuestos. u s t a r i z a b o g a d o s . c o m

Seguridad y calidad para la realización de operaciones Requerimientos especiales – Banca móvil

Canal en el cual el dispositivo móvil es utilizado para realizar operaciones bien sea asociando su número de línea al servicio, o empleando apps (aplicaciones informáticas diseñadas para ser ejecutadas en teléfonos celulares, tabletas y otros dispositivos móviles). Los servicios que se presten a través de dispositivos móviles y utilicen navegadores Web, son considerados banca por internet.

u s t a r i z a b o g a d o s . c o m

Seguridad y calidad para la realización de operaciones Requerimientos especiales – Banca móvil Contar con mecanismos de autenticación de 2 factores para la realización de operaciones monetarias y no monetarias. Para operaciones monetarias individuales o que acumuladas mensualmente por cliente superen 2 SMMLV, implementar mecanismos de cifrado fuerte de extremo a extremo para el envío y recepción de información confidencial de las operaciones realizadas, tal como: clave, número de cuenta, número de tarjeta, etc. Esta información, en ningún caso, puede ser conocida por los proveedores de redes y servicios de telecomunicaciones ni por cualquier otra entidad diferente a la entidad financiera que preste el servicio a través de este canal. Cualquier comunicación que se envíe al teléfono móvil como parte del servicio de alertas o notificación de operaciones no requiere ser cifrada, salvo que incluya información confidencial.

u s t a r i z a b o g a d o s . c o m

Seguridad y calidad para la realización de operaciones Requerimientos especiales – Banca móvil Para las operaciones monetarias individuales o que acumuladas mensualmente por cliente sean inferiores a 2 SMMLV y que no cifren la información de extremo a extremo, la entidad debe adoptar las medidas necesarias para mitigar el riesgo asociado a esta forma de operar, el cual debe considerar los mecanismos de seguridad en donde la información no se encuentre cifrada. La SFC puede suspender el uso del canal cuando se advierta que existen fallas que afecten la seguridad de la información. Contar con medidas que garanticen la atomicidad de las operaciones y eviten su duplicidad debido a fallas en la comunicación ocasionadas por la calidad de la señal, el traslado entre celdas, entre otras. Los servicios que se presten para la realización de operaciones a través de Internet, en sesiones originadas desde el dispositivo móvil, deben cumplir con los requerimientos establecidos en el subnumeral 2.3.4.9. de Internet. u s t a r i z a b o g a d o s . c o m

Seguridad y calidad para la realización de operaciones Requerimientos especiales – Obligaciones específicas para tarjetas débito y crédito Establecer y documentar los procedimientos, controles y medidas de seguridad necesarias para la emisión, transporte, recepción, custodia, entrega, devolución y destrucción de las tarjetas. Se debe estipular el tiempo máximo de permanencia de las tarjetas en cada una de estas etapas. Cifrar la información de los clientes que sea remitida a los proveedores y fabricantes de tarjetas, para mantener la confidencialidad de la misma. Velar porque los centros de operación en donde se realizan procesos tales como: realce, estampado, grabado y magnetización de las tarjetas, entre otros, así como de la impresión del sobreflex, mantengan procedimientos, controles y medidas de seguridad orientadas a evitar que la información relacionada pueda ser copiada, modificada o utilizada con fines diferentes a los de la fabricación de la misma. Velar porque en los centros donde se realicen los procesos citados en el subnumeral anterior, apliquen procedimientos y controles que garanticen la destrucción de aquellas tarjetas que no superen las pruebas de calidad establecidas para su elaboración, así como la información de los clientes utilizada durante el proceso. Iguales medidas se deben aplicar a los sobreflex. u s t a r i z a b o g a d o s . c o m

Seguridad y calidad para la realización de operaciones Requerimientos especiales – Obligaciones específicas para tarjetas débito y crédito Establecer los procedimientos, controles y medidas de seguridad necesarias para la creación, asignación y entrega de las claves a los clientes. Cuando la clave (PIN) asociada a una tarjeta débito o crédito haya sido asignada por la entidad vigilada, esta debe ser cambiada por el cliente antes de realizar su primera operación con este PIN.

Ofrecer a sus clientes mecanismos que brinden la posibilidad inmediata de cambiar la clave de la tarjeta débito o crédito en el momento que éstos lo consideren necesario. Establecer los procedimientos, controles y medidas para la notificación al cliente de la inscripción de pagos en la entidad financiera o por parte de terceros con cargo a sus cuentas o tarjetas de crédito. Las entidades deben notificar a sus clientes acerca de la inscripción de pagos por parte de terceros con cargos a sus cuentas o tarjetas de crédito siempre que el tercero le informe a la entidad acerca de la inscripción de dicho pago. Emitir tarjetas personalizadas que contengan al menos la siguiente información: nombre del cliente, nombre de la entidad emisora y fecha de expiración. Las entidades pueden emitir tarjetas innominadas cuando el análisis de riesgo realizado por ellas lo estime procedente.

u s t a r i z a b o g a d o s . c o m

Seguridad y calidad para la realización de operaciones Requerimientos especiales – Obligaciones específicas para tarjetas débito y crédito Al momento de la entrega de la tarjeta a los clientes, ésta debe estar inactiva. Las entidades deben definir un procedimiento para su respectiva activación, el cual contemple, al menos, dos de tres factores de autenticación. En cualquier caso, se deben entregar las tarjetas exclusivamente al cliente o a quien este autorice.

Entregar a sus clientes tarjetas débito y/o crédito que manejen internamente mecanismos fuertes de autenticación, siempre que los cupos aprobados superen 2 SMMLV. Dichas tarjetas deben servir indistintamente para realizar operaciones en cajeros automáticos (ATM) y en puntos de pago (POS). Sin perjuicio de otras medidas de seguridad, los mecanismos fuertes de autenticación no son obligatorios en tarjetas débito asociadas a productos utilizados para canalizar recursos provenientes de programas de ayuda y/o subsidios otorgados por el Estado Colombiano siempre que estos no superen 2 SMMLV. Lo dispuesto en los numerales 2.3.4.12.1., 2.3.4.12.2., 2.3.4.12.3., 2.3.4.12.4. y 2.3.4.12.8. del Capítulo V del Título IV de la Parte I de la CBJ de la SFC no debe ser cumplido cuando se trate de tarjetas virtuales.

u s t a r i z a b o g a d o s . c o m

Seguridad y calidad para la realización de operaciones Requerimientos especiales – Operaciones por medio de códigos QR Las entidades que ofrezcan la realización de operaciones monetarias en los términos del subnumeral 2.2.4 del presente Capítulo a través de códigos QR, tales como: pagos, transferencias interbancarias, operaciones de recaudo, débitos automáticos, transferencias inmediatas, transferencias de solicitudes de pago, recaudo en línea, retiro en efectivo o recargas, entre otras, deben adoptar como referencia el estándar internacional EMVCo LLC, última versión EMV® QR Code Specification for Payment Systems (EMV QRCPS) Merchant-Presented Mode or Consumer-Presented Mode, o aquellos que lo modifiquen, sustituyan o adicionen y deben cumplir con los siguientes requerimientos:

Proporcionar al consumidor financiero, directamente o a través de terceros, aplicaciones de software que permitan leer el código QR y enrutar la operación. Facilitar que los datos que no puedan ser obtenidos con la lectura del código QR estático y sean necesarios para la transacción (p.ej. monto), sean capturados por la aplicación del consumidor financiero que realiza la operación.

Cumplir con los requerimientos establecidos en los sub numerales 2.3.4.9, 2.3.4.11 y 2.3.5 del presente capítulo para la implementación del software para realizar operaciones o generar los códigos QR dinámicos. u s t a r i z a b o g a d o s . c o m

Seguridad y calidad para la realización de operaciones Requerimientos especiales – Operaciones por medio de códigos QR Gestionar los riesgos que se puedan derivar de la realización de este tipo de operaciones. Con el propósito de promover la interoperabilidad, las entidades administradoras de los sistemas de Pago de Bajo Valor (SPBV) deben concertar y definir de manera conjunta la estructura de los campos donde debe enviarse la información, adicional al estándar, que resulte necesaria para la realización de las operaciones (p.ej. el código identificador del comercio y la discriminación de los impuestos). Cualquier modificación a la estructura definida debe ser informada y socializada a los participantes del sistema de pagos 3 meses antes de su implementación. La información de los campos definidos debe estar a disposición de la SFC y ser publicada en el sitio web de la entidad administradora para consulta de todos los interesados. En el caso de operaciones no monetarias que se realicen mediante el uso de códigos QR, las entidades vigiladas podrán decidir si adoptan o no la última versión del estándar EMV® QR Code Specification for Payment Systems (EMV QRCPS) Merchant-Presented Mode or Consumer-Presented Mode.

u s t a r i z a b o g a d o s . c o m

Seguridad y calidad para la realización de operaciones Requerimientos especiales – Requerimientos en materia de actualización de software Mantener tres ambientes independientes: uno para el desarrollo de software, otro para la realización de pruebas y un tercer ambiente para los sistemas en producción. En todo caso, el desempeño y la seguridad de un ambiente no pueden influir en los demás. Implementar procedimientos que permitan verificar que las versiones de los programas del ambiente de producción corresponden a las versiones de programas fuentes catalogadas. Cuando las entidades necesiten tomar copias de la información de sus clientes para la realización de pruebas, se deben establecer los controles necesarios para garantizar su destrucción, una vez concluidas las mismas. u s t a r i z a b o g a d o s . c o m

Seguridad y calidad para la realización de operaciones Requerimientos especiales – Requerimientos en materia de actualización de software Contar con procedimientos y controles para el paso de programas a producción. El software en operación debe estar catalogado.

Contar con interfaces para los clientes o usuarios que cumplan con los criterios de seguridad y calidad, de tal manera que puedan hacer uso de ellas de una forma simple e intuitiva. Mantener documentada y actualizada, al menos, la siguiente información: parámetros de los sistemas donde operan las aplicaciones en producción, incluido el ambiente de comunicaciones; versión de los programas y aplicativos en uso; soportes de las pruebas realizadas a los sistemas de información; y procedimientos de instalación del software. u s t a r i z a b o g a d o s . c o m

Seguridad y calidad para la realización de operaciones Tercerización - Outsourcing Definir los criterios y procedimientos a partir de los cuales se seleccionarán los terceros y los servicios que serán atendidos por ellos. Incluir en los contratos que se celebren con terceros, por lo menos, los siguientes aspectos: •

Niveles de servicio y operación.

•

Procedimientos a seguir cuando se encuentre evidencia de alteración o manipulación de dispositivos o información.

•

Acuerdos de confidencialidad sobre la información manejada y sobre las actividades desarrolladas.

•

Procedimientos y controles para la entrega de la información manejada y la destrucción de la misma por parte del tercero una vez finalizado el servicio.

•

Las entidades deben contar con los procedimientos necesarios para verificar el cumplimiento de las obligaciones señaladas en el presente subnumeral, los cuales deben ser informados previamente a la auditoría interna o quien ejerza sus funciones.

•

Propiedad de la información.

•

Restricciones sobre el software empleado.

•

Normas de seguridad informática y física a ser aplicadas.

u s t a r i z a b o g a d o s . c o m

Seguridad y calidad para la realización de operaciones Tercerización - Outsourcing Exigir que los terceros contratados dispongan de planes de contingencia y continuidad debidamente documentados. Las entidades deben verificar que los planes, en lo que corresponde a los servicios convenidos, funcionen en las condiciones pactadas. Establecer procedimientos que permitan identificar físicamente, de manera inequívoca, a los funcionarios de los terceros contratados. Implementar mecanismos de cifrado fuerte para el envío y recepción de información confidencial con los terceros contratados.

u s t a r i z a b o g a d o s . c o m

Seguridad y calidad para la realización de operaciones Análisis de vulnerabilidades Requisitos mínimos del sistema de análisis de vulnerabilidades: Estar basado en un hardware de propósito específico (appliance) totalmente separado e independiente de cualquier dispositivo de procesamiento de información, de comunicaciones y/o de seguridad informática. Generar de manera automática por lo menos 2 veces al año un informe consolidado de las vulnerabilidades encontradas. Los informes de los últimos 2 años deben estar a disposición de la SFC. Las entidades deben tomar las medidas necesarias para remediar las vulnerabilidades detectadas en sus análisis.

Realizar un análisis diferencial de vulnerabilidades, comparando el informe actual con respecto al inmediatamente anterior. Las herramientas usadas en el análisis de vulnerabilidades deben estar homologadas por el CVE (Common Vulnerabilities and Exposures) y actualizadas a la fecha de su utilización. Para la generación de los informes solicitados se debe tomar como referencia la lista de nombres de vulnerabilidades CVE publicada por la corporación Mitre.

u s t a r i z a b o g a d o s . c o m

Seguridad y calidad para la realización de operaciones Vinculación de participantes a las EASPBV Las EASPBV que vinculen a los Participantes no vigilados a los que se refiere el subnumeral 2.2.10 de este Capítulo, que prestan servicios de aplicación de comercio electrónico para almacenar, procesar y/o transmitir el pago correspondiente a operaciones de venta en línea con tarjetas débito o crédito, deben incluir en los contratos que celebren con estos, la obligación de contar, mantener y entregar la certificación PCI-DSS, emitida por una entidad que ostente la categoría QSA (Qualified Security Assessor), y soportada por el documento AoC (“Attestation of Compliance”) correspondiente. Así mismo, las EASPBV deben verificar que la certificación PCI-DSS a que hace referencia el inciso anterior este vigente. Si el participante obligado a contar con la certificación no la mantiene vigente, no podrá continuar prestando los servicios señalados en el inciso anterior. En aquellos eventos en que las entidades usen biometría como factor de autenticación electrónica, deben realizar el proceso de verificación de la identidad del cliente contra las bases de datos de la Registraduría Nacional del Estado Civil, los operadores de servicios ciudadanos digitales o de identidad digital autorizados, o contra sus propias bases de datos. u s t a r i z a b o g a d o s . c o m

Seguridad y calidad para la realización de operaciones Uso de bases de datos propias: Almacenar las plantillas biométricas utilizando sistemas de tokenización o algoritmos de cifrado fuertes como AES256, RSA, 3DES o superiores. Abstenerse de almacenar muestras biométricas que hayan sido tomadas con el propósito de realizar procesos de autenticación, salvo que se cuente con la autorización explicita referida en el literal a del artículo 6 de la Ley 1581 de 2012 o aquellas normas que lo reglamenten, modifiquen o adicionen y siempre que sean necesarias en la ejecución de programas de inclusión financiera en sectores apartados del territorio nacional. En todo caso, el almacenamiento debe realizarse bajo estándares en materia de seguridad de datos biométricos, tales como ISO 24741:2007 y 24745:2011. Almacenar la información demográfica del cliente de manera separada de las plantillas biométricas, relacionándolas entre sí por medio de códigos generados por algoritmos matemáticos que no sean fácilmente descifrados.

u s t a r i z a b o g a d o s . c o m

Seguridad y calidad para la realización de operaciones Uso de bases de datos propias: En la implementación de factores biométricos se deben contemplar mecanismos de prueba de vida para fortalecer la confiabilidad y seguridad del sistema tales como: i) medición de propiedades fisiológicas del individuo, ii) identificación de respuestas de comportamiento humano o iii) protocolos de desafío-respuesta. Establecer controles en la captura inicial de las muestras biométricas de los clientes que aseguren que la información se obtenga directamente del titular del dato. Realizar una adecuada gestión de los riesgos asociados, verificar regularmente la efectividad de los controles implementados y dar cumplimiento a las normas vigentes en materia de protección de datos y habeas data.

Domiciliación: las entidades deben establecer procedimientos que incentiven la domiciliación de los pagos y adelantar campañas para dar a conocer este servicio.

u s t a r i z a b o g a d o s . c o m

Ciberseguridad Obligaciones generales Ser aprobada por la junta directiva. Política de principios, procedimientos y lineamientos para gestión de la seguridad de la información y riesgo de ciberseguridad

Documentar las responsabilidades, procesos, procedimientos, etapas y la gestión que se realiza frente a la ciberseguridad. Establecer las funciones de la unidad de seguridad de la información y la ciberseguridad. Principios y lineamientos para promover cultura de ciberseguridad. • •

Actividades de difusión, capacitación y concientización tanto al interior de la entidad como frente a usuarios y terceros que esta considere relevantes dentro de la política de ciberseguridad. Estas actividades deben realizarse periódicamente y pueden incluirse, adicionalmente, en los cursos sobre riesgo operativo que realice la entidad.

u s t a r i z a b o g a d o s . c o m

Ciberseguridad Obligaciones generales Actualización permanente Verificar cumplimiento de obligaciones Sugerir capacitaciones para los funcionarios. Unidad de gestión de riesgos de seguridad de la información y la ciberseguridad

Análisis de riesgo para contratar o implementar SOC

Gestión efectiva de la seguridad de la información y la ciberseguridad en la entidad. Sugerir presupuestos de seguridad de la información y ciberseguridad.

u s t a r i z a b o g a d o s . c o m

Ciberseguridad Obligaciones generales

Unidad de gestión de riesgos de seguridad de la información y la ciberseguridad

Estructura, tamaño, canales de atención, volumen transaccional, número de clientes, evaluación del riesgo y servicios prestados por la entidad. Documentar las responsabilidades, procesos, procedimientos, etapas y la gestión que se realiza frente a la ciberseguridad. Asesorar a la alta gerencia y a la junta directiva en lo que considere necesario. Reportes, por lo menos semestrales, a la junta directiva y a la alta dirección sobre los resultados de su gestión. Ser principal responsable en monitoreo y verificación de políticas y procedimientos. u s t a r i z a b o g a d o s . c o m

Ciberseguridad

Contar con un sistema de gestión para la ciberseguridad, para lo cual se pueden tomar como referencia el estándar ISO 27032, NIST con sus publicaciones SP800 y SP1800, ISF (Information Security Forum), CIS Critical Security Controls (CSC) o Cobit 5 for Information Security, y sus respectivas actualizaciones. Implementar controles para mitigar los riesgos que pudieran afectar la seguridad de información confidencial, en reposo o en tránsito. Emplear mecanismos para la adecuada autenticación y segregar las funciones y responsabilidades de los usuarios con privilegios de administrador o que brindan soporte remoto, para mitigar los riesgos de seguridad de la información.

Establecer procedimientos para la retención y destrucción final de la información, sin que se desconozca lo establecido en el Artículo 96 del EOSF y demás normas aplicables. Incluir dentro del ciclo de vida del desarrollo del software, incluyendo servicios web y apps, que procesan la información confidencial de la entidad o de los consumidores financieros (desde las etapas iniciales tales como levantamiento de requerimientos hasta las pruebas de seguridad pertinentes y producción), aspectos relativos con la seguridad de la información que permitan mitigar dicho riesgo.

Incluir en los contratos que se celebren con terceros críticos, las medidas y obligaciones pertinentes para la adopción y el cumplimiento de políticas para la gestión de los riesgos de seguridad de la información y ciberseguridad. Verificar periódicamente el cumplimiento de las obligaciones y medidas establecidas conforme al subnumeral 3.9. de este Capítulo, para lo cual pueden implementar los mecanismos adecuados para el efecto.

u s t a r i z a b o g a d o s . c o m

Ciberseguridad •

Contar con indicadores para medir la eficacia y eficiencia de la gestión de la seguridad de la información y la ciberseguridad.

•

Gestionar la seguridad de la información y la ciberseguridad en los proyectos que impliquen la adopción de nuevas tecnologías.

•

Considerar la conveniencia de contar con un seguro que cubra los costos asociados a ataques cibernéticos.

Establecer una estrategia de comunicación e información que contemple los siguientes ejes, sin perjuicio de las obligaciones de reporte a la SFC y demás autoridades de acuerdo con la normatividad aplicable: 1. Información que reportará a la SFC, sobre incidentes de ciberseguridad que afecten de manera significativa la confidencialidad, integridad o disponibilidad de la información de la entidad, haciendo una breve descripción del incidente, su impacto y las medidas adoptadas para gestionarlo. 2. Información que reportará a las autoridades que hacen parte del modelo nacional de gestión de incidentes cibernéticos, sobre incidentes cibernéticos. 3. Información que reportará a los consumidores financieros, sobre incidentes cibernéticos que hubiesen afectado la confidencialidad o integridad de su información, así como las medidas adoptadas para remediar la información.

u s t a r i z a b o g a d o s . c o m

Ciberseguridad Prevención •

Establecer, mantener y documentar los controles de acceso (lógicos, físicos y procedimentales) y gestión de identidades bajo la premisa que las personas solo pueden disponer de los recursos que demande su trabajo, durante el tiempo que ello sea necesario.

•

Adoptar políticas, procedimientos y mecanismos para evitar la fuga de datos e información.

•

Gestionar y documentar la seguridad de la plataforma tecnológica.

•

Contar con recursos necesarios para realizar una adecuada gestión de la seguridad de la información y la ciberseguridad.

•

Identificar y, en la medida de lo posible, medir los riesgos cibernéticos emergentes que puedan llegar a afectar la entidad y establecer controles para su mitigación.

u s t a r i z a b o g a d o s . c o m

Ciberseguridad Prevención • • • • • •

Considerar dentro del plan de continuidad del negocio la respuesta, recuperación, reanudación de la operación en contingencia y restauración ante la materialización de ataques cibernéticos. Realizar pruebas del plan de continuidad del negocio que simulen la materialización de ataques cibernéticos. Contar con herramientas o servicios que permitan hacer correlación de eventos que puedan alertar sobre incidentes de seguridad, tal como un SIEM. De acuerdo con la estructura, canales de atención, volumen transaccional y número de clientes, monitorear diferentes fuentes de información tales como sitios web, blogs y redes sociales, con el propósito de identificar posibles ataques cibernéticos contra la entidad. Colaborar con las autoridades que hacen parte del modelo nacional de gestión de ciberseguridad en los proyectos que se adelanten con el propósito de fortalecer la gestión de la ciberseguridad en el sector financiero y a nivel nacional. Informar a los consumidores financieros de la entidad sobre las medidas de seguridad y recomendaciones que deberán adoptar para su ciberseguridad.

u s t a r i z a b o g a d o s . c o m

Ciberseguridad Protección y detección • Adoptar procedimientos y mecanismos para identificar y analizar los incidentes de ciberseguridad que se presenten. • Gestionar las vulnerabilidades de aquellas plataformas que soporten activos de información críticos y que estén expuestos en el ciberespacio. • Realizar un monitoreo continuo a su plataforma tecnológica con el propósito de identificar comportamientos inusuales que puedan evidenciar ciberataques contra la entidad. u s t a r i z a b o g a d o s . c o m

Ciberseguridad Respuesta y comunicación •

Establecer procedimientos de respuesta a incidentes cibernéticos tales como: desconexión automática de equipos, cambios de contraseñas, actualizar la base de firmas del antivirus, bloqueo de direcciones IP o cualquier otro que determine la entidad.

•

Evaluar los elementos de la red para identificar otros dispositivos que pudieran haber resultado afectados.

•

Establecer los procedimientos para reportar, cuando se considere pertinente, al Grupo de Respuesta a Emergencias Cibernéticas de Colombia (COLCERT) o quien haga sus veces, directamente o a través de CSIRT sectoriales, los ataques cibernéticos que requieran de su gestión.

•

Adoptar los mecanismos necesarios para recuperar los sistemas de información al estado en que se encontraban antes del ataque cibernético.

•

En la medida de lo posible, preservar las evidencias digitales para que las áreas de seguridad o las autoridades puedan realizar las investigaciones correspondientes. u s t a r i z a b o g a d o s . c o m

Ciberseguridad

Recuperación y aprendizaje • Ajustar sus sistemas de gestión de riesgo y de seguridad de la información como consecuencia de los incidentes presentados, adoptando los controles que resulten pertinentes. • Socializar, cuando la entidad lo considere pertinente, las lecciones aprendidas al interior de la organización y con las entidades de su sector.

u s t a r i z a b o g a d o s . c o m

Ciberseguridad Reporte de información a la SFC El reporte de incidentes a la SFC se debe realizar utilizando la taxonomía única de incidentes cibernéticos (TUIC), que se encuentra definida y publicada en la página web de la SFC. Así mismo, todas las comunicaciones, reportes de incidentes, alertas tempranas y boletines informativos relacionados con seguridad de la información y ciberseguridad se deben etiquetar usando el protocolo Traffic Light Protocol (TLP), el cual se encuentra publicado en la página web de la SFC. Dichas comunicaciones se deben remitir desde las cuentas de correo configuradas para este fin. Las entidades también lo podrán usar para el envío de otro tipo de información.

u s t a r i z a b o g a d o s . c o m

Canales, medios, seguridad y calidad en el manejo de información en la prestación de servicios financieros.

u s t a r i z a b o g a d o s . c o m

Canales y medios Oficinas

Sucursales Código de Comercio, art. 263. Son sucursales los

establecimientos de comercio abiertos por una sociedad, dentro o fuera de su domicilio, para el desarrollo de los negocios sociales o de parte de ellos, administrados por mandatarios con facultades para representar a la sociedad.

Agencias Código de Comercio, art. 264. Son agencias de una

sociedad sus establecimientos de comercio cuyos administradores carezcan de poder para representarla.

Cuando en los estatutos no se determinen las facultades de los administradores de las sucursales, deberá otorgárseles un poder por escritura pública o documento legalmente reconocido, que se inscribirá en el registro mercantil. A falta de dicho poder, se presumirá que tendrán las mismas atribuciones de los administradores de la principal.

u s t a r i z a b o g a d o s . c o m

Canales y medios Oficinas Las entidades vigiladas podrán abrir, cerrar y trasladar oficinas, en el territorio nacional, previa información a la oficina de registro de la SFC, con antelación de un (1) mes. En caso de no llevarse a cabo la apertura, cierre o traslado de la oficina dentro del término indicado, la entidad debe informar tal hecho a la SFC antes del vencimiento del mismo. El cierre y traslado de oficinas debe ser informado a los clientes, a través de los canales habitualmente utilizados para la comunicación con estos y con una antelación no inferior a 30 días calendario. Se debe indicar expresamente los mecanismos mediante los cuales los consumidores podrán continuar accediendo a los servicios y trámites que realizaba en la oficina objeto de cierre o traslado. Con la misma antelación se informará al público en general, a través de cualquier medio publicitario.

u s t a r i z a b o g a d o s . c o m

Canales y medios

Conversión de oficinas Toda modificación que se efectúe a la naturaleza jurídica de una oficina en funcionamiento debe ser previamente informada a la SFC, indicándose la nueva dependencia contable o administrativa de la oficina objeto de conversión.

u s t a r i z a b o g a d o s . c o m

Canales y medios Servicios que se pueden prestar a través de corresponsales de sociedades fiduciarias

Recaudo y pago de recursos asociados a las operaciones autorizadas a las sociedades fiduciarias.

Recolección y entrega de documentación e información relacionada con las operaciones autorizadas a las sociedades fiduciarias.

Expedición y entrega de extractos.

Los corresponsales de sociedades fiduciarias no pueden vincular ni prestar ningún tipo de asesoría para la vinculación de clientes.

u s t a r i z a b o g a d o s . c o m

Canales y medios Condiciones operativas para la prestación de servicios a través de corresponsales (software y hardware)

Operaciones en línea y tiempo real.

Mecanismos de identificación del medio tecnológico autorizado.

Protección contra captura, almacenamiento, procesamiento, visualización o transmisión de información de las operaciones realizadas, para fines diferentes a los autorizados a la entidad a través de corresponsales.

Transmisión de información de operaciones realizadas de medio tecnológico hasta plataforma tecnológica de la entidad, mediante mecanismos de cifrado fuerte.

Generación automática del soporte de cada operación para su entrega al cliente.

u s t a r i z a b o g a d o s . c o m

Canales y medios

6. Procedimientos para informar a clientes aquellos casos en que operaciones no sean exitosas. 7. Disponibilidad de diferentes perfiles de usuario para efectos de administración, mantenimiento y operación. 8. Medios tecnológicos deben cumplir los principios de atomicidad, consistencia, aislamiento y durabilidad. 9. Disponibilidad de centros de administración y monitoreo de medios tecnológicos de corresponsales. 10. Contar con medios necesarios para brindar atención y soporte requeridos por los corresponsales para la debida prestación de sus servicios.

u s t a r i z a b o g a d o s . c o m

Canales y medios 11. Disponer de registro detallado de todos los eventos realizados a través de medios tecnológicos utilizados por sus corresponsales. 12. Políticas y procedimientos para alistamiento, transporte, instalación, mantenimiento y administración de medios tecnológicos usados por los corresponsales, como para el retiro del servicio de los mismos. 13. Operar con sistemas de información que permitan realizar las operaciones bajo condiciones de seguridad, calidad y no repudio por parte del corresponsal.

14. Protección contra el acceso directo del corresponsal a la información de clientes y productos, que no sea necesaria para cumplir con sus obligaciones como corresponsal. 15. Contar con fase de acompañamiento por parte de la entidad, al inicio de la operación de cada corresponsal, así como la disposición de los medios que le suministren el soporte necesario para la prestación de los servicios convenidos. 16. Contar con mecanismos fuertes de autenticación para realización de operaciones monetarias que impliquen el retiro de efectivo, transferencias de fondos, recepción de giros y desembolsos, incluyendo consulta de saldos, la expedición de extractos y cualquier otra operación no monetaria, autorizada para ser realizada a través de corresponsales, que conlleve a la consulta de información confidencial de los consumidores financieros. u s t a r i z a b o g a d o s . c o m

Canales y medios Otros canales e instrumentos de prestación de servicios financieros

Centro de atención telefónica (Call Center, Contact Center). Receptores de dinero en efectivo. Cajeros Automáticos (ATM). Receptores de cheques Sistemas de Audio Respuesta (IVR). Sistemas de acceso remoto para clientes (RAS). POS (incluye PIN Pad). Banca móvil Internet. u s t a r i z a b o g a d o s . c o m

Canales y medios Condiciones de idoneidad moral, infraestructura física, técnica y de recursos humanos de los

corresponsales Deberes de las entidades relacionados con corresponsales:

•

Corresponsales, sus representantes legales y administradores en general no están incursos en supuestos del numeral 5 del artículo 53 del EOSF.

•

Averiguaciones sobre antecedentes.

•

Cumplimiento de régimen corresponsales cambiarios.

cambiario,

• Lineamientos claros sobre infraestructura, técnicas y de recursos humanos.

• Cumplimiento de regulación aplicable respecto del SARLAFT, definiendo deberes del corresponsal.

para

u s t a r i z a b o g a d o s . c o m

Canales y medios Documentación de servicios a través de corresponsales Descripción de las características técnicas de los medios tecnológicos con los que operará. Infraestructura de comunicaciones que soportará la red de corresponsales. Medidas de seguridad que protegerán la información de las operaciones realizadas. Recursos dispuestos para la operación de los centros de adminsitración, monitoreo y soporte. Descripción del proceso adoptado por la entidad vigilada para la identificación y autenticación del cliente a través del corresponsal. Procedimiento adoptado para el registro y conservación de la inforamción de las operaciones realizadas. Identificación de los riesgos operacionales asociados a la prestación del servicio a través del corresponsal y las medidas adoptadas para su mitigación. u s t a r i z a b o g a d o s . c o m

Canales y medios Corresponsal simultáneo de distintas entidades • Mecanismos que aseguren adecuada diferenciación de servicios prestados por cada entidad vigilada. • Obligación del corresponsal: abstenerse de realizar actos de discriminación o preferencia entre entidades, o que impliquen competencia desleal entre las mismas. • Digital: identificación clara y expresa de entidad que presta los servicios,

asegurando

debida

diferenciación

servicios

prestados por cada una de las entidades.

u s t a r i z a b o g a d o s . c o m

Canales y medios Otros canales e instrumentos de prestación de servicios financieros

Las entidades vigiladas deben promover el uso de canales digitales para la prestación de los servicios demandados por los consumidores financieros, los cuales deben contar con condiciones adecuadas de seguridad y calidad para la realización de operaciones.

En ningún caso, podrán limitar el uso de los canales tradicionales para aquellos consumidores financieros que prefieran y decidan realizar sus operaciones a través de estos.

u s t a r i z a b o g a d o s . c o m

Canales y medios Uso de red Red: el conjunto de medios o elementos a través de los cuales sus prestadores suministran los servicios del usuario de la red al público. Forman parte de la Red los canales presenciales y no presenciales, los empleados y los sistemas de información que tenga habilitados el respectivo prestador. Sistemas de información: el conjunto de elementos tecnológicos orientados al tratamiento y administración de datos destinados a la realización de las operaciones autorizadas por el art. 2.34.1.1.2 del Decreto 2555 de 2010. u s t a r i z a b o g a d o s . c o m

Canales y medios Uso de red Canales presenciales: aquellos en los que el consumidor financiero asiste personalmente al mismo, tales como las oficinas, los cajeros automáticos, los receptores de cheques, los receptores de dinero en efectivo y los datáfonos (POS, incluye PIN Pad).

Canales no presenciales: aquellos en los que el consumidor financiero es atendido de manera remota, tales como la banca móvil, el internet, los sistemas de audio respuesta (IVR), los centros de atención telefónica (Call Center, Contact Center) y los sistemas de acceso remoto para clientes. u s t a r i z a b o g a d o s . c o m

Canales y medios Contenido mínimo del contrato de uso de red Identificación de las partes y objeto del contrato.

Productos + operaciones a promocionar y gestionar en virtud del contrato, especificando canales presenciales y no presenciales por medio de los cuales se prestará el servicio. Debe indicar si los servicios incluyen deber de asesoría. Obligaciones de las partes asociadas al intercambio de información que permita garantizar un adecuado suministro de información. Mecanismos que aseguran prestación del servicio, equiparando los estándares de eficiencia, oportunidad y seguridad a ofrecidos por la entidad usuaria de la red a sus consumidores financieros. Mecanismos de mitigación adecuada de riesgos asociados a validación de identidad de consumidores financieros y el registro, conservación y seguridad de la información de las operaciones realizadas, garantizando su independencia frente a la información o bases de datos propios del prestador de la red. Las medidas que se adoptarán para garantizar que los consumidores financieros identifiquen que el usuario de la red es una persona jurídica distinta de la entidad prestadora de la red. El manejo que la entidad prestadora le dará a los recursos recibidos de los clientes de la entidad usuaria. Los mecanismos que se adoptarán para capacitar al personal involucrado en la atención al consumidor financiero en virtud del contrato de uso de red.

Los mecanismos habilitados por la entidad usuaria de la red para la atención de quejas y la definición sobre si las mismas pueden canalizarse a través de la entidad prestadora. El término de duración y las causales de terminación. Remuneración por el uso de la red. u s t a r i z a b o g a d o s . c o m

Canales y medios Uso de red

Modificaciones

Remisión a la SFC, cuando se modifique la info contenida en los subnumerales 1.4.1.1.1. a 1.4.1.1.1.7.

Capacitación y recursos Ajuste de políticas y procedimientos de administración de riesgos.

Administración de los conflictos de interés Identificación y definición medidas para administrarlos

Identificación de

Identificación clara del personal ante consumidor financiero.

Administración de riesgos

Requisitos de información

Riesgo operativo Riesgo LA/FT

Información al consumidor. Comprobantes de operaciones Recepción de quejas y reclamos

u s t a r i z a b o g a d o s . c o m

Canales y medios Uso de red de oficinas

• Sociedades financieros.

servicios

• Entidades aseguradoras.

• Sociedades de bolsa.

comisionistas

• Sociedades de capitalización e intermediarios de seguros.

• Promoción y gestión de operaciones autorizadas a la entidad usuaria de la red, bajo su responsabilidad

• Cumplimiento de contenido mínimo del contrato de uso de red.

• Prestador de red de oficinas debe garantizar existencia de independencia locativa y operativa que evite confusiones sobre identidad corporativa de instituciones.

• Independencia los servicios.

operativa

• Identificación servicio.

locativa

del

u s t a r i z a b o g a d o s . c o m

Protección al Consumidor Financiero.

u s t a r i z a b o g a d o s . c o m

Sistema de Atención al Consumidor Financiero La Superintendencia Financiera desupervisión Colombia ordena a las entidades que implementen Guía externa para la del riesgo de vigiladas conducta un SAC que este orientado en los siguientes puntos: 1.

Consolidar al interior de cada entidad una cultura de debida atención, trato justo, protección, respeto y servicio a los consumidores financieros;

Adoptar sistemas para suministrarles información adecuada;

Fortalecer los procedimientos para la atención de sus quejas, peticiones y reclamos; y

Propiciar la protección de los derechos del consumidor financiero, así como la educación financiera de éstos.

De tal manera que, las entidades financieras, deben desarrollar un SAC que este encaminado principalmente en la debida atención, trato justo, protección, respeto y servicio a los Consumidores financieros, así como también en los principios establecidos en la Ley 1328 de 2009. Así mismo, las entidades vigiladas por la SFC están en la obligación de diseñar campañas y programas de educación financiera, como mecanismos para suministrar la información a aquellas personas en situación de discapacidad y para ello pueden utilizar herramientas como la simbología, señalización, lenguaje de señas, braile y subtitulación de videos institucionales. u s t a r i z a b o g a d o s . c o m

Sistema de Atención al Consumidor Financiero

uía externa del riesgo de conducta AsíGuía mismo, es importante quesupervisión las entidadesdel tengan en cuenta los siguientes externa para la riesgo de conducta conceptos en sus Sistemas de Atención al Consumidor Financiero: 1. El principio de trato Justo: las entidades vigiladas deben garantizar en el diseño, ofrecimiento y prestación de sus productos y servicios, lo siguiente: i. Productos y servicios que atiendan las necesidades y expectativas de los consumidores financieros. ii. Acceso y suministro de información clara, transparente y oportuna, acorde con las necesidades y perfil del consumidor financiero, en todo el ciclo de vida del producto. iii. Inexistencia de barreras para movilizarse entre diferentes productos, servicios y entidades financieras. iv. Inexistencia de barreras para interponer quejas o reclamos. 2.. Cultura organizacional: son aquellos valores, actitudes, comportamientos y normas internas que tiene cada entidad. u s t a r i z a b o g a d o s . c o m

Sistema de Atención al Consumidor FinancieroImplementación

Para una adecuada implementación del SAC las entidades deben desarrollar: 1.

Programas y campañas de educación financiera adecuados y suficientes, independientes y adicionales a la publicidad propia de la entidad que permitan y faciliten a los consumidores financieros adoptar decisiones, comprender los términos y condiciones de los productos y servicios, como además los costos o tarifas de estos.

Estas campañas o programas a su vez deben: • Contribuir al conocimiento y prevención de los riesgos que se deriven de la utilización de productos y servicios;

• Promover el uso de la tecnología en forma segura y • Ser accesibles a todo tipo de consumidores financieros, incluidas aquellas personas en situación de discapacidad.

u s t a r i z a b o g a d o s . c o m

Sistema de Atención al Consumidor Financiero Requisitos Mínimos POLÍTICAS

PROCEDIMIENTOS

DOCUMENTACIÓN

• Son aquellos lineamientos generales o particulares que debe contar cada entidad para:

Las entidades tienen el deber de implementar procedimientos aplicables para:

- Procurar, propiciar e impulsar la debida atención y la protección al CF.

• La adecuada implementación y funcionamiento del SAC. • La atención efectiva y debida de las peticiones, quejas o reclamos que presentan los consumidores financieros. • El análisis de los motivos de las peticiones, quejas o reclamos, esto con el objetivo de implementar planes de acción de mejoras oportunas y continuas. • Revisión de las solicitudes recomendaciones que emitan el Defensor del Consumidor Financiero. • Procedimientos dirigidos a la atención de los consumidores financieros en situación de discapacidad.

Las entidades financieras deben constar en documentos y registros todos los aspectos que estén relacionados con la implementación del SAC, esto es para garantizar la integridad, oportunidad, confiabilidad y disponibilidad de la información.

- Establecer aspectos relativos a la atención de los consumidores en situación de discapacidad. - Asegurar el cumplimento de las normas relativas a la protección al CF. • Estos lineamientos deben ser adoptados por la Junta Directiva o el Consejo de administración.

Como mínimo la entidad debe incluir en su documentación: • •

•

Manual SAC. Registros y demás elementos, mediante los cuales se pueden evidenciar la operación efectiva del SAC. Informes de Junta Directiva o Consejo de Administración, Representante Legal y los Órganos de Control.

u s t a r i z a b o g a d o s . c o m

Sistema de Atención al Consumidor Financiero Requisitos Mínimos EDUCACIÓN FINANCIERA

INFORMACIÓN AL CONSUMIDOR FINANCIERO

Como se indicó anteriormente, las entidades están en el deber de diseñar programas y campañas de educación financiera que sean dirigidos a los consumidores financieros y que sean de fácil acceso a aquellas personas en situación de discapacidad.

Las entidades vigiladas tienen el deber de procurar que su SAC contenga mecanismos eficientes para suministrar información compresible, cierta, suficiente y oportuna en relación con:

- Los productos y/o servicios que ofrece la entidad. - Los procedimientos para la atención de los PQR´s. - Información relacionada con el Defensor del Consumidor Financiero.

u s t a r i z a b o g a d o s . c o m

Sistema de Atención al Consumidor Financiero- Etapas

1.Identificación: En desarrollo del SAC las entidades deben establecer todos aquellos hechos o situaciones que puedan afectar la debida atención y protección a los consumidores financieros. 2.Medición: Una vez concluida la etapa de identificación, las entidades deben medir la posibilidad y probabilidad de ocurrencia de los eventos que afecten la debida atención y protección a los consumidores financieros y su impacto en caso de materializarse. 3.Control: Las entidades deben tomar medidas para controlar los eventos o situaciones que puedan afectar la debida atención y protección a los consumidores financieros con el fin de disminuir la probabilidad de ocurrencia, así como la implementación de acciones de mejora oportunas y continuas respecto de las quejas o reclamos que se presenten. 4.Monitoreo: Las entidades deben hacer un monitoreo constante para velar que las medidas que hayan establecido sean efectivas.

u s t a r i z a b o g a d o s . c o m

Sistema de Atención al Consumidor Financiero- PQR

Los consumidores financieros cuentan con las siguientes instancias para interponer su quejas o reclamos: 1.Las entidades vigiladas. 2.El Defensor del Consumidor Financiero. 3.La SFC. 4.Autoridades Judiciales. 5.Los organismos de autorregulación.

u s t a r i z a b o g a d o s . c o m

Sistema de Atención al Consumidor Financiero- PQR

La Circular Externa 023 de 2021 adicionó a la Circular Básica Jurídica, los requisitos que deben tener en cuenta los consumidores financieros al momento de presentar una queja o reclamo directamente a la entidad vigilada o ante la misma SFC, los cuales son: • • • • • • • • •

Nombres y apellidos completos del solicitante o de su representante o apoderado Tipo de persona (natural o jurídica) Tipo y número del documento de identificación Dirección o correo electrónico para envío de correspondencia Nombre de la entidad vigilada por la SFC con la cual se tiene la inconformidad Motivo y producto o servicio objeto de la inconformidad Breve descripción de los hechos Lugar (país, departamento y municipio) en donde ocurrieron los hechos cuando aplique Documentos que soporten la queja o reclamo, cuando sea necesario

u s t a r i z a b o g a d o s . c o m

Sistema de Atención al Consumidor Financiero- PQR • En el subnumeral 8.2.2 del Capítulo II del Título IV de la Parte I de la CBJ (añadido por la C. E. 023 de 2021) señala que, las entidades vigiladas tienen un término de 15 días hábiles para resolver y atender las quejas y reclamos de parte de los consumidores financieros, término que es contado a partir del día siguiente a la fecha de su recibo. • En el caso de que, la entidad no pueda atender las quejas o reclamos dentro del plazo antes mencionado, la entidad financiera está en el deber de informar al reclamante o quejoso los motivos por los cuales van a demorarse en atender y resolver su caso, adicionalmente deben informar al CF la fecha en la que emitirán la respuesta.

Quejas Exprés La “Queja Exprés”, es un mecanismo de clasificación y atención establecido por la SFC a través de la Circular Externa 023 de 2021, por medio de este mecanismo lo que buscan la SFC es optimizar los tiempos de respuesta hacia los consumidores financieros, en aquellas quejas que por sus características pueden ser atendidas en un menor tiempo que es de cinco (5) días hábiles ,contados a partir del día siguiente a la fecha de su recibo. u s t a r i z a b o g a d o s . c o m

Sistema de Atención al Consumidor Financiero- PQR SMARTSUPERVISION ( C.E. 023 DE 2021) Mediante a esta Circular Externa la SFC consideró necesario fortalecer diferentes aspectos normativos, esto con el fin de consolidar una cultura de debida atención, trato justo, protección, respeto y servicio, así mismo buscó armonizar el marco normativo del SAC. De tal manera que, la SFC realizó un esquema estandarizado para la clasificación de los motivos de quejas o reclamaciones por productos e implementó el desarrollo tecnológico llamado Smartsupervision, que le permite contar con información oportuna y actualizada de las quejas o reclamaciones que presentan los consumidores financieros ante las entidades vigiladas, el defensor del consumidor financiero y ante las misma (SFC). Este esquema debía implementarse, conforme con las instrucciones de la SFC, a más tardar el 01 de diciembre de 2022 (C.C. 64 de 2022). u s t a r i z a b o g a d o s . c o m

Sistema de Atención al Consumidor Financiero Defensor al Consumidor

El Capítulo VI de la ley 1328 de 2009, trata algunos aspectos relacionados con la figura del Defensor del Consumidor Financiero. Funciones del Defensor del Consumidor Financiero: i.

Atender de manera oportuna y efectiva a los consumidores financieros de las entidades correspondientes.

ii. Actuar como conciliador entre los consumidores financieros y la respectiva entidad. iii. Conocer y resolver en forma objetiva y gratuita para los consumidores, las quejas que estos le presenten contra las entidades vigiladas, relativas a un posible incumplimiento de la entidad vigilada. iv. Ser vocero de los consumidores financieros ante la respectiva entidad vigilada.

v. Efectuar recomendaciones a la entidad vigilada relacionadas con los servicios y la atención al consumidor financiero, y en general en materias enmarcadas en el ámbito de su actividad. vi. Proponer a las autoridades competentes las modificaciones normativas que resulten convenientes para la mejor protección de los derechos de los consumidores financieros.

u s t a r i z a b o g a d o s . c o m

Sistema de Atención al Consumidor Financiero Defensor al Consumidor Así mismo, mediante la Circular Externa 013 de 2022, la Superintendencia Financiera estableció que, a partir del 01 de enero de 2023, el DCF: i.

Deberá participar en la identificación de la causa raíz de situaciones que afecten la calidad en los productos y servicios ofrecidos por la EV.

ii. Podrá en cualquier momento poner en conocimiento de la junta directiva u órgano equivalente, las recomendaciones y propuestas formuladas, así como los resultados de la revisión de los contratos de adhesión que haya realizado.

Informe del Gestión del DCF: El Informe de Gestión que debe presentarse en la Asamblea Ordinaria de Accionistas, debe contener como mínimo aspectos relacionados con: i.

La función de atención y resolución de quejas o reclamos.

ii. La función de vocería. iii. La función de conciliación. iv. Información adicional. u s t a r i z a b o g a d o s . c o m

Sistema de Atención al Consumidor Financiero Defensor al Consumidor ASUNTOS EXCEPTUADOS DE CONOCIMIENTO DEL DFC En el artículo 14 de la Ley 1328 de 2009, establece los asuntos exceptuados del conocimiento del defensor que son: i. Los que no correspondan o no estén directamente relacionados con el giro ordinario de las operaciones autorizadas a las entidades. ii. Los concernientes al vínculo laboral entre las entidades y sus empleados o respecto de sus contratistas.

iii. Aquellos que se deriven condición de accionista de las entidades. iv. Los relativos al reconocimiento de las prestaciones y de las pensiones de invalidez, de vejez y de sobrevivientes, salvo en los aspectos relacionados con la calidad del servicio y en los trámites del reconocimiento de estas. v. Los que se refieren a cuestiones que se encuentren en trámite judicial o arbitral o hayan sido resueltas en estas vías. u s t a r i z a b o g a d o s . c o m

Los que no correspondan o no estén directamente relacionados con el giro ordinario de las operaciones autorizadas a las entidades.

ii. Los concernientes al vínculo laboral entre las entidades y sus empleados o respecto de sus contratistas. iii. Aquellos que se deriven condición de accionista de las entidades. iv. Los relativos al reconocimiento de las prestaciones y de las pensiones de invalidez, de vejez y de sobrevivientes, salvo en los aspectos relacionados con la calidad del servicio y en los trámites del reconocimiento de estas. v. Los que se refieren a cuestiones que se encuentren en trámite judicial o arbitral o hayan sido resueltas en estas vías. vi. Aquellos cuya cuantía, sumados todos los conceptos, supere los cien (100) salarios mínimos legales mensuales vigentes al momento de su presentación.

vii. Las demás que defina el Gobierno Nacional.

u s t a r i z a b o g a d o s . c o m

Sistema de Atención al Consumidor Financiero Defensor al Consumidor

ASUNTOS EXCEPTUADOS DE CONOCIMIENTO DEL DFC vi. Aquellos que correspondan a la decisión sobre la prestación de un servicio o producto. vii.Los que se refieran a hechos sucedidos con tres (3) años o más de anterioridad a la fecha de presentación de la solicitud ante el Defensor. viii.Los que tengan por objeto los mismos hechos y afecten a las mismas partes, cuando hayan sido objeto de decisión previa por parte del Defensor.

u s t a r i z a b o g a d o s . c o m

Sistema de Atención al Consumidor Financiero Defensor al Consumidor DEBERES Y RESPONSABILIDADES DEL DFC

ENTIDAD VIGILADA • Estimar y disponer de los recursos financieros para el ejercicio de la función del DCF. • Establecer y hacer seguimiento de los indicadores de gestión. • Velar por la independencia y autonomía del DCF. • Establecer lineamientos para el manejo de conflictos de interés que puedan presentarse durante la postulación y designación del DCF. • Velar porque el DCF cuenta con el equipo humano para desarrollar su labor.

JUNTA DIRECTIVA • Aprobar criterios adicionales a tener en cuenta para la designación del DCF. • Revisar y aprobar la política de honorarios del DCF.

u s t a r i z a b o g a d o s . c o m

Sistema de Atención al Consumidor Financiero Defensor al Consumidor DEBERES Y RESPONSABILIDADES DEL DFC

REPRESENTANTE LEGAL • Proponer a la Junta Directiva criterios adicionales a tener en cuenta para la designación del DCF. • Verificar la gestión realizada por el DCF con base en el plan de trabajo presentado. • Documentar y reportar a la junta directiva u órgano equivalente, los planes de acción implementados con ocasión de las recomendaciones efectuadas por el DCF en cualquier materia. • Evaluar la implementación de las recomendaciones que realice el DCF.

• Verificar que el DCF acredite las condiciones profesionales y personales exigidas al momento de su designación, así como durante el periodo en el que ejerza sus funciones. • Efectuar seguimiento permanente a la gestión del DCF. • Presentar semestralmente a la junta directiva u órgano equivalente, un informe con los resultados y planes de acción implementados para la mejora continua de la atención al consumidor financiero, la mitigación de la causa raíz de las quejas o reclamos, así como el adecuado funcionamiento de la institución del DCF

• Presentar ante la asamblea general ordinaria de accionistas u órgano equivalente, las propuestas de servicios para la designación del DCF, conforme con las instrucciones impartidas por la SFC. u s t a r i z a b o g a d o s . c o m

Trato justo al Consumidor Financiero.

u s t a r i z a b o g a d o s . c o m

Deber del trato justo al consumidor financiero

uía externa del riesgo de conducta

Principios rectores Guía externa para la supervisión1.del riesgo de conducta • En el artículo 3º de la Ley 1328 de 2009 se encuentran establecidos los principios orientadores que rigen la relación entre la entidad y los consumidores financieros. • En relación con el deber de trato justo al consumidor financiero se destacan los siguientes principios:

Manejo adecuado de los conflictos de interés

Responsabilidad de las entidades vigiladas en el trámite de quejas

u s t a r i z a b o g a d o s . c o m

Deber del trato justo al consumidor financiero 2. Derechos y Deberes de los Consumidores Financieros relacionados con el deber de Trato Justo Guía externa para la supervisión del riesgo de conducta

DERECHOS •

•

Tener a su disposición publicidad e información transparente, clara, veraz, oportuna y verificable, sobre las características propias de los productos y/o servicios ofrecidos y suministrados. Recibir una adecuada educación respecto de las diferentes formas de instrumentar los productos y servicios ofrecidos, sus derechos y obligaciones, así como los costos que se generan sobre los mismos, los mercados y tipo de actividad que desarrollan las entidades vigiladas, así como sobre los diversos mecanismos de protección establecidos para la defensa de sus derechos.

DEBERES •

Observar que las instrucciones y recomendaciones impartidas sean acordes frente al manejo de productos o servicios financieros.

•

Revisar los términos y condiciones del respectivo contrato y sus anexos.

•

Suministrar información cierta, suficiente y oportuna a las entidades vigiladas.

•

Obtener una respuesta oportuna a cada solicitud de producto o servicio

•

Informarse sobre los productos o servicios que piensa adquirir o emplear; exigiendo las explicaciones verbales y escritas necesarias, precisas y suficientes que le posibiliten la toma de decisiones informadas. u s t a r i z a b o g a d o s . c o m

Deber del trato justo al consumidor financiero 3. Obligaciones de las entidades financieras relacionadas con el deber de Trato Justo Oferta de Productos y servicios que respondan a las necesidades y expectativas de los consumidores financieros

Entregar el producto o prestar el servicio debidamente, es decir, en las condiciones informadas

Suministro de información clara, transparente y oportuna, de acuerdo con las necesidades y perfil del consumidor financiero

Elaborar los contratos y anexos, con claridad y ponerlos a disposición de los CF para su aceptación

Proporcionar un tratamiento equitativo a todos los consumidores financieros, asegurando invariablemente la igualdad

Garantizar el debido proceso en cada caso, sin importar la condición o calidad de la persona involucrada

Ausencia de barreras para cambiar entre diferentes productos, servicios y entidades financieras Inexistencia de obstáculos para presentar quejas o reclamos.

Divulgar en caso de ser necesario, la existencia de un posible conflicto de intereses Disponer de los medios electrónicos y controles idóneos para brindar eficiente seguridad a las transacciones

No requerir al consumidor financiero información que ya reposé en la entidad vigilada.

u s t a r i z a b o g a d o s . c o m

Deber del trato justo al consumidor financiero 4. Obligaciones de las entidades financieras relacionadas con el deber de Trato Justo Acceso igualitario

Políticas que fomenten la Inclusividad y Diversidad

Protección en el Ciclo de Vida del Producto

Facilidad en la Movilidad Financiera

Un canal de Quejas y Reclamaciones

Como mínimo las entidades deben ofrecer a los consumidores financieros:

Las consecuencias derivadas del incumplimiento del contrato

Información clara y trasparente para el manejo seguro del producto o servicio

u s t a r i z a b o g a d o s . c o m

Deber del trato justo al consumidor financiero 3.1 La finalidad del trato justo

Protección del Consumidor

Transparencia y Conocimiento

Equidad en el Acceso

Prevención del Abuso

Construcción de Confianza

Resolución Justa de Quejas

u s t a r i z a b o g a d o s . c o m

Deber del trato justo al consumidor financiero 4. Debida atención a protección al CF Se entiende por debida atención y protección al consumidor financiero el conjunto de actividades que desarrollan las entidades vigiladas con el objeto de propiciar un ambiente de debida atención, trato justo, protección, respeto y servicio a los consumidores. Adoptar e implementar una cultura al interior de la entidad que garantice la debida diligencia en el ofrecimiento de sus productos o en la prestación de sus servicios a los consumidores Para que las entidades vigiladas logren un ambiente de debida atención y protección a los consumidores financieros deben tener presente lo siguiente:

Procurar una adecuada educación del consumidor financiero Suministrar al consumidor financiero información cierta, suficiente, clara y oportuna, sobre los derechos, obligaciones, costos de los productos y servicios que brinda la entidad.

Establecer medidas específicas relativas a la debida atención, trato justo, protección, respeto y servicio de los consumidores financieros que se encuentren en situación de discapacidad. u s t a r i z a b o g a d o s . c o m

Deber del trato justo al consumidor financiero 4.1. Consumidores Financieros en situación de discapacidad

Las entidades deben establecer ciertas medidas, políticas y procedimientos orientadas a la debida atención a los consumidores financieros que se encuentren en situación de discapacidad.

Las entidades están en la obligación de diseñar campañas y programas de educación financiera, como mecanismos para suministrar la información a aquellas personas en situación de discapacidad

u s t a r i z a b o g a d o s . c o m

Riesgo de conductas.

u s t a r i z a b o g a d o s . c o m

Antecedentes

uía externa del riesgo de conducta Guía externa para la supervisión del riesgo de conducta

2008

2011

2020

• Crisis financiera

• “Principios de alto nivel para la protección de los consumidores” OECD y G20

• “Política Nacional de Inclusión y Educación Económica y Financiera” CONPES 4005

2020 •Inclusión del riesgo de conducta en el Marco Integral de Supervisión (MIS)

u s t a r i z a b o g a d o s . c o m

Ámbito normativo Guía externa para la supervisión del riesgo de conducta

Las normas que sirven de parámetro para la supervisión del Riesgo de Conducta son: • La guía externa para riesgo de conductas de la SFC • Capítulo I y II del Título III de la Parte I de la Circular Básica Jurídica de la SFC •Guía Capítulo I del Título I de la parte I de la Circular externa del riesgo de conducta Básica Jurídica de la SFC • Marco Integral de Supervisión • Capítulo XXXI de la Circular Básica Contable y Financiera de la SFC

u s t a r i z a b o g a d o s . c o m

¿Qué es Riesgo de Conducta?

Consiste en la afectación a los derechos del consumidor financiero o al mercado, derivada de una práctica de una ES. Dicha afectación puede surgir por factores como el diseño del producto, las ventas y mercadeo y la post-venta, así como por la inhabilidad de la ES de cumplir con la regulación que les aplica. Citado de White Paper-Supervisión del Riesgo de Conductas. Superintendencia Financiera de Colombia

u s t a r i z a b o g a d o s . c o m

Factores y Causas RIESGO

DESCRIPCIÓN

CAUSAS

Producto y mercado objetivo

Recoge el diseño del producto, su pertinencia frente a las necesidades del consumidor y el mercado al cual se ofrece

- Diseño, características y condiciones del producto - Mercado objetivo

Relacionamiento con el consumidor financiero

Incliuye los esquemas de ventas y de -Gestión de la información y acercamiento a los consumidores asesoría financieros durante el ciclo de vida del - Barreras post-venta producto para establecer posibles afectaciones a los consumidores financieros.

Estrategias e incentivos

Desde la estrategia y el plan de negocios de la ES, existe la posibilidad de afectar a los consumidores financieros, y/o al mercado.

- Estrategias y modelo de negocios - Esquemas de incentivos - Tercerización - Digitalización u s t a r i z a b o g a d o s . c o m

Evaluación

Estructura de Gobierno

Gestión Operativa

Riesgo Neto

Rentabilidad

u s t a r i z a b o g a d o s . c o m

Evaluación – Estructura de Gobierno

ESTRUCTURA DE GOBIERNO

Función de Supervisión

Junta Directiva

Alta Gerencia

Función de cumplimiento

Función de gestión de riesgos

Función de análisis financiero

Auditoría Interna

u s t a r i z a b o g a d o s . c o m

Evaluación- Gestión operativa

La evaluación de la gestión operativa permite a la SFC comprender los recursos, la comunicación, las políticas, las prácticas y los controles disponibles en la entidad supervisada. Esto es crucial para garantizar una atención adecuada a los consumidores financieros desde el primer contacto, ya que la calidad de estos elementos se refleja directamente en la gestión general de la entidad supervisada.

u s t a r i z a b o g a d o s . c o m

Evaluación- Riesgo Neto La presencia de falencias en la estructura de gobierno no solo influye en el perfil de riesgo de la entidad supervisada, sino que también puede resultar en posibles consecuencias para los consumidores financieros. Por esta razón, es fundamental evaluar tanto los riesgos inherentes como los controles establecidos por la entidad para mitigar estos riesgos, con el fin de determinar el riesgo residual o neto, teniendo en cuenta lo siguiente:

Expectativas no satisfechas

Pérdida económica

Mal servicio o experiencia

u s t a r i z a b o g a d o s . c o m

Evaluación- Rentabilidad

La Superintendencia Financiera de Colombia examina cómo los productos se benefician desde la perspectiva del consumidor y la integridad del mercado. También evalúa si los esquemas de remuneración e incentivos adoptados están en consonancia con las políticas de trato justo hacia los consumidores.

u s t a r i z a b o g a d o s . c o m

Una mirada internacional - definición Buen comportamiento de quienes trabajan en instituciones financieras, respecto de: • Asunción de responsabilidad personal y pública por las acciones propias.

• Monitoreo constante y proactivo de que no se causen daños a los clientes. • Ambiente laboral que permita la crítica constructiva a cualquiera que se comporte de mala forma respecto de los clientes o los colegas. • Bajo la cultura de auditoría: reflejar el propósito de la compañía y cómo genera valor agregado distinto a la generación de utilidades. • Prevención del mal comportamiento y de resultados no deseados socialmente. Modelo de supervisión: • De VaR (value-at-risk) a BaR (behaviour-at-risk). • Supervisión ligada a las ciencias del comportamiento (sesgos, instintos, etc).

• Visitas ‘Floor-walk’

Fuente: Miles, R (2021). Culture Audit in Financial Services

u s t a r i z a b o g a d o s . c o m

Una mirada internacional - regulador Beneficios para el regulador: • Apoyo por parte de los consumidores y el público en general. • Alto recaudo mediante multas por mala conducta. • Rapidez de la actuación sancionatoria: directa al individuo y no presupone la estructuración de un caso, complejo y técnico, que dependa de algún producto financiero. • Transición de intenciones vagas a prácticas concretas. • Ejemplo: Afirmar una consciencia medioambiental vs. Implementar procesos sostenibles. • Integración de indicadores de conducta en la actividad de auditoría. • Indicadores alternativos, como: seguridad psicológica, diversidad cognitiva, carácter y competencia de los líderes, coraje moral o ‘anti-bystanding’ y valor social, entre otros.

Entidades adoptando este modelo

Fuente: Miles, R (2021). Culture Audit in Financial Services

u s t a r i z a b o g a d o s . c o m

Una mirada internacional - regulador División de la supervisión: • Supervisión prudencial. • Supervisión conductual.

Algunos ejemplos de implementación del modelo BaR: Ciudad/País

Regulación sobre conductas

Autoridad

Australia

Banking Executive Accountability Regime

Australian Prudential Regulation Authority

Hong Kong

Supervision of Bank Culture

Hong Kong Monetary Authority

Irlanda

Senior Executive Accountability Regime

Central Bank of Ireland

Japón

Strengthened Misconduct Governance

Japan Financial Services Authority

Países Bajos

Banker’s Oath and Financial Markets Amendment Act

Netherlands Authority for the Financial Markets

Singapur

Individual Accountability

Monetary Authority of Singapore

Reino Unido

Senior Managers & Certification Regime

Financial Conduct Authority

Fuente: Miles, R (2021). Culture Audit in Financial Services

u s t a r i z a b o g a d o s . c o m

Una mirada internacional - entidades • Reto principal: identificar qué hacen, para qué lo hacen y cuál es su valor social. • La cultura corporativa tiene más relevancia de la que se le ha dado históricamente. • Problema de personal vs. Dificultad de cumplimiento de reglas.

• Enfoque normativo vs. Enfoque conductual. • Cultura centrada en el cliente, por encima de una cultura enfocada en utilidades. • Decir no es hacer. ‘The main business of Compliance isn’t rules. It’s the business of influencing people. (…) giving staff the opportunity to engage intelligently in a conversation about ‘why we do things the way we do’ – and whether those things can be done better – is a far better route than blind enforcement of rules and rotelearning.’

Fuente: Miles, R (2021). Culture Audit in Financial Services u s t a r i z a b o g a d o s . c o m

Ecosistema financiero colombiano

Mejor reputación*

Mejor lugar de trabajo**

Tamaño***

Banco de Bogotá

Banco Davivienda

Bancolombia

Davivienda

Scotiabank

Davivienda

Bancolombia

Banco de Bogotá

Scotiabank

Banco Caja Social

Corficolombiana

BBVA

Banco Agrario de Colombia

Banco de Occidente

¿Qué fue primero? ¿La gallina o el huevo? *Fuente: Ranking reputacional del Sector Bancario y Financiero 2024, Punto Cardinal Comunicaciones. **Fuente: Ranking Computrabajo Best Workplaces 2024 Colombia, Computrabajo. ***Fuente: Ranking Banking 500 2024, BrandFinance. u s t a r i z a b o g a d o s . c o m