SFC - Anexo Circular Externa 27 de 2018 (1)

SUPERINTENDENCIA FINANCIERA DE COLOMBIA 2.3.3.1.11. Establecer los mecanismos necesarios para que el mantenimiento y la instalación o desinstalación de programas o dispositivos en las terminales o equipos de cómputo sólo pueda ser realizado por personal debidamente autorizado. 2.3.3.1.12. Establecer procedimientos para el bloqueo de canales o de instrumentos para la realización de operaciones, cuando existan situaciones o hechos que lo ameriten o después de un número de intentos de accesos fallidos por parte de un cliente, así como las medidas operativas y de seguridad para la reactivación de los mismos. 2.3.3.1.13. Elaborar el perfil de las costumbres transaccionales de cada uno de sus clientes y definir procedimientos para la confirmación oportuna de las operaciones monetarias que no correspondan a sus hábitos. 2.3.3.1.14. Realizar una adecuada segregación de funciones del personal que administre, opere, mantenga y, en general, tenga la posibilidad de acceder a los dispositivos y sistemas usados en los distintos canales e instrumentos para la realización de operaciones. En desarrollo de lo anterior, las entidades deben establecer los procedimientos y controles para el alistamiento, transporte, instalación y mantenimiento de los dispositivos usados en los canales de distribución de servicios. 2.3.3.1.15. Definir los procedimientos y medidas que se deben ejecutar cuando se encuentre evidencia de la alteración de los dispositivos usados en los canales de distribución de servicios financieros. 2.3.3.1.16. Sincronizar todos los relojes de los sistemas de información de la entidad involucrados en los canales de

distribución. Se debe tener como referencia la hora oficial suministrada por la Superintendencia de Industria y Comercio. 2.3.3.1.17. Tener en operación sólo los protocolos, servicios, aplicaciones, usuarios, equipos, entre otros, necesarios para el desarrollo de su actividad. 2.3.3.1.18. Contar con controles y alarmas que informen sobre el estado de los canales, y además permitan identificar y corregir las fallas oportunamente. 2.3.3.1.19. Incluir en el informe de gestión a que se refiere el art. 47 de la Ley 222 de 1995 –modificado por el art. 1 de la Ley 603 de 2000-, un análisis sobre el cumplimiento de las obligaciones enumeradas en la presente Circular. 2.3.3.1.20. Considerar en sus políticas y procedimientos relativos a los canales de distribución, la atención a personas con discapacidades físicas, con el fin de que no se vea menoscabada la seguridad de su información. 2.3.3.1.21. Los establecimientos de crédito deben adoptar mecanismos que le permitan atender las operaciones de los consumidores financieros, por los canales que resulten necesarios y por las cuantías que determine razonables, para garantizar un nivel mínimo de prestación de sus servicios a los consumidores financieros, cuando la entidad opere fuera de línea. 2.3.3.1.22. Los establecimientos de crédito deben enviar trimestralmente a la SFC, a la dirección de correo riesgooperativo@superfinanciera.gov.co, un informe sobre la disponibilidad mensual de cada uno de los canales por medio de los cuales presta sus servicios en el que se incluya el detalle de la metodología utilizada para el cálculo de la

disponibilidad. Se entiende por disponibilidad el porcentaje de tiempo que durante el mes el canal estuvo habilitado para la prestación del servicio. 2.3.3.1.23. Las entidades vigiladas deben informar a la SFC a la dirección de correo riesgooperativo@superfinanciera.gov.co, los eventos que afecten de manera significativa la confidencialidad, integridad o disponibilidad de la información manejada en los sistemas que soportan los canales de atención al cliente, haciendo una breve descripción del incidente y su impacto. Los incidentes se deben reportar tan pronto se presenten. Así mismo, deben remitir la información de la que trata el subnumeral 3.5.1. del Capítulo I del Título III de la Parte I de la CBJ. 2.3.3.1.24. Las bolsas de valores, bolsas de bienes y productos agropecuarios, agroindustriales o de otros commodities, los depósitos centralizados de valores, las cámaras de riesgo central de contraparte, los sistemas de compensación y liquidación de valores, los sistemas de compensación y liquidación de divisas, los proveedores de precios para valoración, los administradores de sistemas de negociación de valores y/o registro de operaciones sobre valores, los administradores de sistemas de negociación de divisas y/o registro de operaciones sobre divisas, y las sociedades de financiación colaborativa deben reportar a la SFC a la dirección de correo riesgooperativo@superfinanciera.gov.co, los siguientes eventos: 2.3.3.1.24.1. Fallas en los sistemas administrados que afecten y/o tengan el potencial de afectar la prestación de los servicios y/o que generen errores o falta de oportunidad en la información suministrada al mercado y/o al público

en general. Dicha información se debe reportar a más tardar al día hábil siguiente y debe contener una breve descripción del evento o incidente y de la afectación. 2.3.3.1.24.2. La descripción de las pruebas de contingencia y/o continuidad realizadas a los sistemas que implementen o no la participación de los afiliados o usuarios y que tengan el potencial de generar afectación en la prestación de los servicios. Esta información se debe reportar el día hábil anterior al inicio de las pruebas. 2.3.3.1.24.3. Actualizaciones y/o modificaciones técnicas o tecnológicas que tengan el potencial de generar interrupciones en la prestación de los servicios o en la correcta y oportuna generación de información. Esta información se debe reportar por lo menos con ocho (8) días calendario de antelación y en ella se deben especificar los servicios que se podrían ver afectados y los medios alternos que se utilizarán para dar continuidad a la operación en condiciones de normalidad. Cuando no sea posible reportar la información respecto de las actualizaciones y/o modificaciones técnicas o tecnológicas con la antelación de ocho (8) días a la que se refiere el inciso anterior, esta información se debe reportar a más tardar al día hábil siguiente de la realización de la actualización y/o modificación, otorgando las explicaciones suficientes sobre la razón por la cual el reporte se está realizando en un término inferior. 2.3.3.1.24.4. Proyectos relativos a nuevos servicios o productos y/o renovaciones estructurales de la plataforma tecnológica que tengan el potencial de generar impactos en los servicios e información suministrada al mercado. Esta información se debe reportar en la fecha de inicio de la implementación del proyecto y debe contener el

PARTE I – TÍTULO II – CAPÍTULO I PÁGINA 10

Circular Externa 027 de 2018 Diciembre de 2018 SUPERINTENDENCIA FINANCIERA DE COLOMBIA cronograma de actividades, en donde se incluyan, entre otros, las fechas previstas para la realización de las pruebas o ejercicios, capacitaciones al mercado, ajustes reglamentarios y entrada en producción.

PARTE I – TÍTULO II – CAPÍTULO I PÁGINA 10

Circular Externa 027 de 2018 Diciembre de 2018 SUPERINTENDENCIA FINANCIERA DE COLOMBIA 2.3.3.2. En materia de documentación Las entidades deben cumplir, como mínimo, con los siguientes requerimientos: 2.3.3.2.1. Dejar constancia de todas las operaciones que se realicen a través de los distintos canales, la cual debe contener cuando menos lo siguiente: fecha, hora, código del dispositivo (para operaciones realizadas a través de IVR: el número del teléfono desde el cual se hizo la llamada; para operaciones por Internet: la dirección IP desde la cual se hizo la misma; para operaciones con dispositivos móviles, el número desde el cual se hizo la conexión), cuenta(s), número de la operación y costo de la misma para el cliente o usuario. En los casos de operaciones que obedecen a convenios, se debe dejar constancia del costo al que se refiere el presente numeral, cuando ello sea posible. 2.3.3.2.2. Velar porque los órganos de control, incluyan en sus informes la evaluación acerca del cumplimiento de los procedimientos, controles y seguridades, establecidos por la entidad y las normas vigentes, para la prestación de los servicios a los clientes y usuarios, a través de los diferentes canales de distribución.

2.3.3.2.3. Generar informes trimestrales sobre la disponibilidad y número de operaciones realizadas en cada uno de los canales de distribución. Esta información debe ser conservada por un término de 2 años. 2.3.3.2.4. Cuando a través de los distintos canales se pidan y se realicen donaciones, se debe generar y entregar un soporte incluyendo el valor de la donación y el nombre del beneficiario. 2.3.3.2.5. Conservar todos los soportes y documentos donde se hayan establecido los compromisos, tanto de las entidades como de sus clientes y las condiciones bajo las cuales éstas prestan sus servicios. Se debe dejar evidencia documentada de que los clientes las han conocido y aceptado. Esta información debe ser conservada por lo menos por 2 años, contados a partir de la fecha de terminación de la relación contractual o en caso de que la información sea objeto o soporte de una reclamación o queja, o cualquier proceso de tipo judicial, hasta el momento en que sea resuelto. 2.3.3.2.6. Llevar un registro de las consultas realizadas por los funcionarios de la entidad sobre la información confidencial de los clientes, que contenga al menos lo siguiente: identificación del funcionario que realizó la consulta, canal utilizado identificación del equipo, fecha y hora. En desarrollo de lo anterior, se deben establecer mecanismos que restrinjan el acceso a dicha información, para que solo pueda ser usada por el personal que lo requiera en función de su trabajo. 2.3.3.2.7. Llevar el registro de las actividades adelantadas sobre los dispositivos finales a cargo de la entidad, usados en los canales de distribución de servicios, cuando se realice su alistamiento, transporte, mantenimiento, instalación y activación. 2.3.3.2.8. Dejar constancia del cumplimiento de la obligación de informar adecuadamente a los clientes respecto de las

medidas de seguridad que deben tener en cuenta para la realización de operaciones por cada canal, así como los procedimientos para el bloqueo, inactivación, reactivación y cancelación de los productos y servicios ofrecidos. 2.3.3.2.9. Grabar las llamadas realizadas por los clientes a los centros de atención telefónica cuando consulten o actualicen su información. La información a que se refieren los subnumerales 2.3.3.2.1., 2.3.3.2.6 y 2.3.3.2.9. debe ser conservada por lo menos por 2 años. En el caso en que la información respectiva sea objeto o soporte de una reclamación, queja, o cualquier proceso de tipo judicial, hasta el momento en que sea resuelto. 2.3.4. Requerimientos especiales por tipo de canal

PARTE I – TÍTULO II – CAPÍTULO I PÁGINA 101

Circular Externa 027 de 2018 Diciembre de 2018