SFC - Pasarelas de pago. Proveedores de servicios de pago -PSP. Adquirente no vigilado-ANV Concepto 2023094068-002 del 6 de octubre de 2023 id2023094068

PASARELAS DE PAGO, PROVEEDORES DE SERVICIOS DE PAGO-PSP, ADQUIRENTE NO VIGILADO-ANV Concepto 2023094068-002 del 6 de octubre de 2023

Síntesis: Las normas que regulan los sistemas de pago de bajo valor (SPBV) no contemplan a las “pasarelas de pago”. Por tal razón, para establecer las normas que les resultan aplicables a las entidades que prestan servicios de pago bajo dicha denominación es necesario determinar el alcance de su actividad. «(…)consulta relacionada con la normativa aplicable a las pasarelas de pago, así como los riesgos asumidos por las entidades que se desarrollan esta actividad.

A continuación, incluiremos algunas consideraciones generales sobre el alcance de las competencias de la SFC, para así precisar el sentido en que se atenderá su solicitud. A renglón seguido, nos propondremos responder a cada una de las preguntas planteadas en la petición, en el orden planteado en ésta.

1. Consideraciones generales En atención a las peticiones, en la modalidad de consulta, la SFC emite respuestas de carácter general sobre las materias a su cargo, que no se dirige a resolver situaciones de orden particular, ni constituye asesoría encaminada a determinar consecuencias jurídicas derivadas de actos o decisiones de particulares. Lo anterior, con fundamento en lo establecido en la Ley 1437 de 2011, artículos 14 y 28, sustituidos por el artículo 1º de la Ley 1755 de 2015.

En este contexto, las respuestas en instancia consultiva no comprometen la responsabilidad de la Entidad, como tampoco pueden condicionar el ejercicio de sus competencias administrativas o jurisdiccionales en un caso

concreto. Dicho lo anterior, es importante indicar que, conforme al artículo 121 de la Constitución Política, las autoridades del Estado sólo tienen competencia en relación con las materias a su cargo y con sujeción a las funciones atribuidas por la Constitución y la ley, las cuales, para el caso de la SFC, se encuentran descritas en el Estatuto Orgánico del Sistema Financiero (“EOSF”) y en el Decreto 2555 de 2010 (“D.2555.2010”). En ese sentido, de acuerdo con el D.2555.2010, en su artículo 11.2.1.3.1, la SFC, en su calidad de organismo técnico adscrito al Ministerio de Hacienda y Crédito Público, “ejerce la inspección, vigilancia y control sobre las personas que realicen actividades financiera, bursátil, aseguradora y cualquier otra relacionada con el manejo, aprovechamiento o inversión de recursos captados del público”. Asimismo, la SFC supervisa el sistema financiero colombiano para preservar su estabilidad, seguridad y confianza, así como promover, organizar y desarrollar el mercado de valores colombiano y proteger a los inversionistas, ahorradores y asegurados. A partir de lo anterior, en el marco de su competencia, esta Superintendencia ejerce la inspección y vigilancia de las entidades enunciadas en el EOSF, artículo 325, numeral 2 y en la Ley 964 de 2005, artículo 75, parágrafo tercero, numeral 1 (D.2555.2010, artículo 11.2.1.6.1). En lo que respecta a los sistemas de pago de bajo valor (“SPBV”), la SFC vigila y ejerce funciones de supervisión

sobre (i) los establecimientos de crédito, (ii) las Sociedades Especializadas en Depósitos y Pagos Electrónicos (“SEDPE”) – estos dos grupos que se definen como “Participantes” en su rol de “Adquirentes Vigilados” –, y (iii) las entidades administradoras del sistema de pagos de bajo valor (“EASPBV”). Con ocasión a la expedición del Decreto 1692 de 2020 (“D.1692.2020”), el cual modificó el D.2555.2010, se introdujo una nueva regulación sobre los SPBV en Colombia. Entre otros aspectos, en esta nueva regulación no se usa el término de “pasarelas de pago” para identificar a alguno de los participantes en los SPBV. Aunque la denominación “pasarelas de pago” sigue estando vigente en el sector de pagos (presentes y no presentes) en Colombia, para analizar su normativa deberá atenderse a las categorías incorporadas en el D.1692.2020.

2. Consideraciones sobre la petición De acuerdo marco normativo citado, conviene informar que esta Superintendencia no ejerce inspección ni vigilancia a las denominadas “pasarelas de pago”. Sin perjuicio de lo anterior, para efectos de atender su comunicación, a continuación, citaremos cada uno de los puntos de su solicitud y a renglón seguido de cada uno de ellos, se incluirá la respectiva respuesta de esta Superintendencia: 2.1. “Aclarar cuál es la normatividad aplicable en Colombia para la regulación, administración y funcionamiento de las pasarelas de pago, incluyendo en lo posible interpretación pertinente por parte de la Superintendencia y la jurisprudencia aplicable” En la normativa colombiana no se encuentra disposición alguna que defina las “pasarelas de pago”. En su

momento, a través de la Circular Externa 008 de 2018, la SFC emitió instrucciones a sus vigiladas relacionadas con la vinculación de terceros que procesaran pagos, y que por intermedio de los establecimientos bancarios o las EASPBV se vincularan a los SPBV. En estas instrucciones se usó la mención de “pasarelas de pago” (sin definirlas) para referirse a aquellos terceros que procesaban pagos. Sin embargo, con las nuevas reglas de los SPBV, definidas a través del D.1692.2020, cualquier mención a los actores de los SPBV debe hacerse conforme a las categorías y definiciones incorporadas en dicho decreto. Es importante destacar que el D.1692.2020 no incluye una definición o categoría específica para las “pasarelas de pago”. Para referirse a estas, deberá validarse la actividad que una empresa que se denomine “pasarela de pago” – ciertamente no vigilada por la SFC – presta en los SPBV; de esta forma será posible determinar la categoría que mejor se ajuste a su función y las reglas que le son aplicables a tales actores, así en el sector de pagos en Colombia podrían seguir siendo denominados, genéricamente, “pasarelas de pago”. Consideramos oportuno traer a colación un pronunciamiento emitido previamente por la SFC en este sentido: “En punto a las “pasarelas de pago”, debe advertirse que dicha expresión ha sido utilizada para referirse a empresas proveedoras de servicios de pagos, los cuales son prestados a través de plataformas tecnológicas para facilitar a los comercios la realización de sus operaciones de compraventa, en ambientes de venta presente y no presente, así como la aceptación de pagos

electrónicos que se procesan, compensan y liquidan a través de los Sistemas de Pago de Bajo Valor (SPBV). En estricto sentido, se trata de proveedores tecnológicos que no están autorizados a desarrollar actividades relacionadas con el manejo, el aprovechamiento o la inversión de los recursos captados del público y, por tanto, no están sometidos a la vigilancia de esta Superintendencia”1 (Subrayado nuestro) 1 Oficio 2021059200-010000 del 28 de junio de 2021 y Oficio 2022051818-003 del 3 de mayo de 2022. En esa línea, respecto a las “pasarelas de pago”, de acuerdo con el Documento Técnico “Actualización Normativa del Sistema de Pago de Bajo Valor” de la URF2, dicha expresión podría llegar a ser utilizada para referirse a las empresas que sean Proveedores de Servicios de Pago (“PSP”). Así, con respecto a los PSP, la normativa contenida en el D.2555.2010, Parte 2, Libro 17, incorporó dicho término, para definirlo como un actor de los SPBV que por delegación del adquirente o de la entidad emisora, desarrolla una o varias de sus funciones3. Dichos actores han sido clasificados, en razón a los servicios que presta por cuenta del adquirente o de la entidad emisora como: (i) proveedor de tecnologías de acceso4, (ii) procesador adquirente5, (iii) procesador emisor6, o (iv) agregador7. Aquí resulta oportuno resaltar que los PSP son actores cuyo único vínculo contractual, en los SPBV, se da con los adquirentes o con la entidad emisora, exclusivamente. La única excepción

a esta regla es el agregador quien, en adición a los vínculos mencionados, puede tener relación contractual con el comercio. Resulta pertinente mencionar que los PSP no son sociedades vigiladas por la SFC8. Estas sociedades, en su rol de PSP, deben atender las condiciones que establezcan las EASPBV, los adquirentes o entidades emisoras, para su vinculación a los SPBV, de acuerdo con la naturaleza de los servicios que presten9. Por otro lado, hay que considerar que si una empresa, no vigilada por la SFC, decidiera prestar servicios de adquirencia10 por cuenta propia, podría hacerlo siempre y cuando para el efecto cumpla con los 2 Disponible en: https://www.urf.gov.co/webcenter/ShowProperty?nodeId=%2FConexionContent%2FWCC_CLUSTER153801%2F%2FidcPrimaryFile&revision=latestreleased 3 D.2555.2010, artículo 2.17.1.1.1, numeral 20: “Proveedores de servicios de pago: Agente del sistema de pago que por delegación del adquirente o la entidad emisora desarrolla una o varias de sus funciones. Se incluye dentro de esta definición, entre otros, al procesador emisor, al procesador adquirente, al agregador y al proveedor de tecnologías de acceso” 4 Ibid. Numeral 17: “Proveedor de tecnologías de acceso: Proveedor de servicios de pago del adquirente que suministra al comercio tecnologías de acceso que permitan el uso de instrumentos de pago en ambientes presente y no presente” 5 Ibid. Numeral 18: “Procesador adquirente: Proveedor de servicios de pagos del adquirente que enruta las órdenes de pago o transferencia de fondos a la entidad administradora del sistema de pago de bajo

valor” 6 Ibid. Numeral 19: “Procesador Emisor: Proveedor de servicios de pago de la entidad emisora que transmite la autorización de una orden de pago o transferencia de fondos a la entidad administradora del sistema de pago de bajo valor” 7 Ibid., numerales 3, 17, 18 y 19. 8 Excepto el caso de las EASPBV que ejerzan su rol como PSP, entidades que sí están sujetas a la supervisión de la SFC (D.2555.2010, art. 2.17.1.1.1, numeral 7.) 9 Circular Básica Jurídica, Parte I, Título II, Capítulo I, numerales 2.2.10 y 2.3.8. 10 Definida en el D.2555.2010, artículo 2.17.1.1.1, numeral 1 como: “Actividad consistente en la ejecución y el cumplimiento de las responsabilidades que se listan a continuación: 1.1. Vincular a los comercios al sistema de pago de bajo valor. 1.2. Suministrar al comercio tecnologías de acceso que permitan el uso de instrumentos de pago. 1.3. Procesar y tramitar órdenes de pago o transferencia de fondos iniciadas a través de las tecnologías de acceso. 1.4. Abonar al comercio o al agregador, en los términos con ellos convenidos, los recursos de las ventas realizadas a través de las tecnologías de acceso a él suministradas, así como gestionar los ajustes a los que haya lugar derivados de un proceso de controversias, devoluciones, reclamaciones o contracargos y notificar al usuario la confirmación o

rechazo de la orden de pago o transferencia. Las actividades de los numerales 1.1, 1.2 y 1.3 podrán ser requisitos para ser considerada como un “Adquirente no Vigilado” (“AnV”). En efecto, el D.2555.2010, en su artículo 2.17.3.1.2. establece los requisitos para ser considerado AnV11. Dentro de los requisitos que debe cumplir una sociedad para ser considerada como AnV, está el de estar inscrita en el Registro de Adquirentes No Vigilados (“RANV”), que es administrado por la SFC. Aquí es importante aclarar que los AnV no son entidades vigiladas por la SFC, ni su inclusión en el RANV cambia lo anterior. Considerando lo anterior, cuando en el sector de pagos en Colombia se haga referencia a una “pasarela de pagos”, se podría estar haciendo referencia a (i) un PSP, en cualquiera de sus modalidades, según lo dicho antes, o a (ii) un AnV. Como se indicó antes, para definir la norma aplicable a uno u otro actor, se deberá analizar la actividad o rol que tiene este tercero, denominado genéricamente como “pasarela de pago”, en los SPBV. En este contexto, esta Superintendencia considera que a las “pasarelas de pago” les resulta aplicable la normativa relacionada con los servicios que prestan los PSP como a los AnV, según corresponda. Esto incluye las disposiciones contenidas en el D.2555.2010, modificadas por el D.1692.2020 y el Decreto 1297 de 202212 y la Circular Básica Jurídica emitida por la SFC. Además, las pasarelas de pago deberán considerar el reglamento

emitido por la respectiva EASPBV. desarrolladas por proveedores de servicios de pago. La relación contractual del comercio podrá ser con el adquirente o el agregador. En todo caso, el adquirente será responsable ante el sistema de pago, los participantes y sus usuarios, por el cumplimiento de las funciones aquí listadas. La actividad de adquirencia podrá ser desarrollada por los establecimientos de crédito, las sociedades especializadas en depósitos y pagos electrónicos (SEDPES) y por sociedades no vigiladas por la Superintendencia Financiera de Colombia”. 11 D.2555.2010, artículo 2.17.3.1.2: “Registro de adquirentes no vigilados. La Superintendencia Financiera de Colombia mantendrá un registro de las sociedades no vigiladas que desarrollen la actividad de adquirencia. Dicho registro tiene como propósito permitir que se evalúe su solvencia y se realizará de forma previa a que el adquirente sea aceptado como participante al primer sistema de pago de bajo valor donde pretenda desarrollar sus actividades. La Superintendencia Financiera de Colombia autorizará la inscripción en el Registro de Adquirentes no Vigilados a aquellas sociedades que cumplan los siguientes requisitos de carácter general: 1. Ser una sociedad anónima. 2. Disponer de un capital suscrito y pagado igual o superior a cuarenta y cuatro mil setecientos treinta y dos coma trece (44.732,13) Unidades de valor tributario (UVT). 3. Contar con un mecanismo para mantener los fondos recibidos de la liquidación de órdenes de pago o transferencias de fondos separados de los fondos de sus recursos propios o recursos de otras personas distintas a sus usuarios. Para el efecto podrán, entre

otros, suscribir alianzas con establecimientos de crédito o constituir patrimonios autónomos. 4. A partir del primer año de operación, y cada año siguiente, demostrar que cuenta con un capital suscrito y pagado de por lo menos el dos por ciento (2%) del valor de los fondos recibidos de la liquidación de órdenes de pago o transferencias de fondos de los últimos doce meses. La Superintendencia Financiera de Colombia podrá verificar, en cualquier momento, el cumplimiento de los requisitos aquí listados. La Superintendencia Financiera de Colombia tendrá un plazo máximo de dos (2) meses, contados a partir de la radicación de la solicitud de registro junto a toda la información requerida, para autorizar o denegar la solicitud de la inscripción en el Registro de Adquirentes no Vigilados”. 12 Por medio del cual se regulan las finanzas abiertas en Colombia respecto a la transferencia de datos de consumidores, promoviendo el acceso a esa información para desarrollar nuevos servicios financieros y se modifican aspectos relacionados con los SPBV en lo que tiene que ver con la actividad de adquirencia y la iniciación de pagos, entre otras. 2.2. “Aclarar cuales serían los requisitos mínimos exigidos desde la normatividad para la composición y actividad de una pasarela de pagos en Colombia” De acuerdo con lo expuesto anteriormente, reiteramos que al referirse a las "pasarelas de pago", entendemos que hace mención a PSP o a AnV. Así, en el caso de los PSP, estas entidades no están bajo la supervisión de la SFC y, por ende, su constitución se rige por las normativas pertinentes del derecho societario colombiano. Para operar, los PSP deben cumplir con los requisitos que para el efecto le exija el adquirente por cuenta del cual

preste algún servicio de adquirencia que se pueda delegar. Estos requisitos deben observar lo dispuesto en el reglamento del SPBV junto con los estándares específicos definidos por la EASPBV correspondiente en la que el adquirente se encuentre vinculado. Esto, para garantizar el funcionamiento adecuado y seguro del SPBV. En el caso de los AnV, tanto su constitución como su operación deberán regirse por las disposiciones estipuladas en el Decreto 2555 de 2010, artículo 2.17.3.1.2, previamente citado. Este marco legal establece los requisitos y las condiciones que los AnV deben cumplir para ser considerados como tal, siendo necesario realizar la inscripción en el Registro de Adquirentes no Vigilados. 2.3. “Especificar si existe una limitante en el número de operaciones o en los montos transaccionales para las pasarelas de pago en Colombia” Según lo dicho antes, para efectos de las respuestas a sus preguntas, nos referiremos a PSP o a AnV cuando en la petición se hace mención a las “pasarelas de pago”. En relación con esta pregunta, manifestamos que no existe ninguna disposición normativa en Colombia que establezca algún tipo de reglas o limitaciones sobre montos transaccionales para los PSP o AnV. En este este contexto, las limitaciones en el número de operaciones o los montos transaccionales para los PSP y/o AnV son aquellas establecidas, de haberlas, por la EASPBV en la que tales actores participen, según lo consignado en sus respectivos reglamentos de funcionamiento. 2.4. “Señalar cuáles son los posibles riesgos identificados en la actividad realizada por las pasarelas de pago como parte del comercio electrónico, y los deberes existentes para la

mitigación de dichos riesgos” Respecto a los riesgos asociados a la actividad desarrollada en los SPBV, el D.2555.2010, modificado por el D.1692.2020, en su artículo 2.17.2.1.5 establece para las EASPBV, entre otras, las siguientes obligaciones de las EASPBV: “Artículo 2.17.2.1.5. Deberes de las entidades administradoras de sistemas de pago de bajo valor. Las entidades administradoras de sistemas de pago de bajo valor tendrán los siguientes deberes: (…)

5. Contar con sistemas adecuados de administración de los riesgos inherentes a su actividad, incluidos planes de contingencia y de seguridad informática para garantizar la continuidad de su operación y la administración y mitigación de los riesgos de crédito, legal, de liquidez, operativo y sistémico.

(…)

7. Exigir a sus participantes contar con reglas y elevados estándares operativos, técnicos y de seguridad que permitan el desarrollo de sus operaciones y su participación dentro del sistema de pago de bajo valor en condiciones de seguridad, transparencia y eficiencia, y el mantenimiento de sistemas adecuados de administración de los riesgos inherentes a su actividad y aquellos asociados con su participación dentro del sistema de pago de bajo valor, entre otros, el riesgo de contraparte, operativo, de crédito y liquidez.

8. Exigir a sus participantes contar con una política de tratamiento y protección de datos personales, políticas y procedimientos relacionados con la prevención y el control del riesgo de lavado de activos y financiación del terrorismo y deberes de información a los beneficiarios respecto a sus tarifas, comisiones y procedimientos de pago”. (Subrayado fuera de texto).

De lo anterior, se observa que serán las EASPBV las que deben establecer los riesgos que son inherentes a su actividad. Así, identificados estos riesgos, las EASPBV definirán las reglas que, en materia de gestión de riesgos, deberán atender sus participantes, las cuales deberán verse reflejadas en su respectivo reglamento de funcionamiento. Los AnV, en su rol de adquirente, y por lo mismo participante, del SPBV,deberán atender tales reglas. Los PSP, por su parte, deberán atender las reglas que se definan en los SPBV en los que los adquirentes por cuenta de quienes realizan alguna operación estén vinculados. (…).»