SFC - Anexo Circular Externa 53 de 2016 (2)

SUPERINTENDENCIA FINANCIERA DE COLOMBIA 2.3.3.1.11. Establecer los mecanismos necesarios para que el mantenimiento y la instalaci(cid:243)n o desinstalaci(cid:243)n de programas o dispositivos en las terminales o equipos de c(cid:243)mputo s(cid:243)lo pueda ser realizado por personal debidamente autorizado. 2.3.3.1.12. Establecer procedimientos para el bloqueo de canales o de instrumentos para la realizaci(cid:243)n de operaciones, cuando existan situaciones o hechos que lo ameriten o despuØs de un nœmero de intentos de accesos fallidos por parte de un cliente, as(cid:237) como las medidas operativas y de seguridad para la reactivaci(cid:243)n de los mismos. 2.3.3.1.13. Elaborar el perfil de las costumbres transaccionales de cada uno de sus clientes y definir procedimientos para la confirmaci(cid:243)n oportuna de las operaciones monetarias que no correspondan a sus hÆbitos. 2.3.3.1.14. Realizar una adecuada segregaci(cid:243)n de funciones del personal que administre, opere, mantenga y, en general, tenga la posibilidad de acceder a los dispositivos y sistemas usados en los distintos canales e instrumentos para la realizaci(cid:243)n de operaciones. En desarrollo de lo anterior, las entidades deben establecer los procedimientos y controles para el alistamiento, transporte, instalaci(cid:243)n y mantenimiento de los dispositivos usados en los canales de distribuci(cid:243)n de servicios. 2.3.3.1.15. Definir los procedimientos y medidas que se deben ejecutar cuando se encuentre evidencia de la alteraci(cid:243)n de

los dispositivos usados en los canales de distribuci(cid:243)n de servicios financieros. 2.3.3.1.16. Sincronizar todos los relojes de los sistemas de informaci(cid:243)n de la entidad involucrados en los canales de distribuci(cid:243)n. Se debe tener como referencia la hora oficial suministrada por la Superintendencia de Industria y Comercio. 2.3.3.1.17. Tener en operaci(cid:243)n s(cid:243)lo los protocolos, servicios, aplicaciones, usuarios, equipos, entre otros, necesarios para el desarrollo de su actividad. 2.3.3.1.18. Contar con controles y alarmas que informen sobre el estado de los canales, y ademÆs permitan identificar y corregir las fallas oportunamente. 2.3.3.1.19. Incluir en el informe de gesti(cid:243)n a que se refiere el art. 47 de la Ley 222 de 1995 –modificado por el art. 1 de la Ley 603 de 2000-, un anÆlisis sobre el cumplimiento de las obligaciones enumeradas en la presente Circular. 2.3.3.1.20. Considerar en sus pol(cid:237)ticas y procedimientos relativos a los canales de distribuci(cid:243)n, la atenci(cid:243)n a personas con discapacidades f(cid:237)sicas, con el fin de que no se vea menoscabada la seguridad de su informaci(cid:243)n. 2.3.3.1.21. Los establecimientos de crØdito deben adoptar mecanismos que le permitan atender las operaciones de los consumidores financieros, por los canales que resulten necesarios y por las cuant(cid:237)as que determine razonables, para

garantizar un nivel m(cid:237)nimo de prestaci(cid:243)n de sus servicios a los consumidores financieros, cuando la entidad opere fuera de l(cid:237)nea. 2.3.3.1.22. Los establecimientos de crØdito deben enviar trimestralmente a la SFC, a la direcci(cid:243)n de correo riesgooperativo@superfinanciera.gov.co, un informe sobre la disponibilidad mensual de cada uno de los canales por medio de los cuales presta sus servicios en el que se incluya el detalle de la metodolog(cid:237)a utilizada para el cÆlculo de la disponibilidad. Se entiende por disponibilidad el porcentaje de tiempo que durante el mes el canal estuvo habilitado para la prestaci(cid:243)n del servicio. 2.3.3.1.23. Las entidades vigiladas deben informar a la SFC a la direcci(cid:243)n de correo riesgooperativo@superfinanciera.gov.co, los eventos que afecten de manera significativa la confidencialidad, integridad o disponibilidad de la informaci(cid:243)n manejada en los sistemas que soportan los canales de atenci(cid:243)n al cliente, haciendo una breve descripci(cid:243)n del incidente y su impacto. Los incidentes se deben reportar tan pronto se presenten. As(cid:237) mismo, deben remitir la informaci(cid:243)n de la que trata el subnumeral 3.5.1. del Cap(cid:237)tulo I del T(cid:237)tulo III de la Parte I de la CBJ. 2.3.3.2. En materia de documentaci(cid:243)n Las entidades deben cumplir, como m(cid:237)nimo, con los siguientes requerimientos:

2.3.3.2.1. Dejar constancia de todas las operaciones que se realicen a travØs de los distintos canales, la cual debe contener cuando menos lo siguiente: fecha, hora, c(cid:243)digo del dispositivo (para operaciones realizadas a travØs de IVR: el nœmero del telØfono desde el cual se hizo la llamada; para operaciones por Internet: la direcci(cid:243)n IP desde la cual se hizo la misma; para operaciones con dispositivos m(cid:243)viles, el nœmero desde el cual se hizo la conexi(cid:243)n), cuenta(s), nœmero de la operaci(cid:243)n y costo de la misma para el cliente o usuario. En los casos de operaciones que obedecen a convenios, se debe dejar constancia del costo al que se refiere el presente numeral, cuando ello sea posible. 2.3.3.2.2. Velar porque los (cid:243)rganos de control, incluyan en sus informes la evaluaci(cid:243)n acerca del cumplimiento de los procedimientos, controles y seguridades, establecidos por la entidad y las normas vigentes, para la prestaci(cid:243)n de los servicios a los clientes y usuarios, a travØs de los diferentes canales de distribuci(cid:243)n. 2.3.3.2.3. Generar informes trimestrales sobre la disponibilidad y nœmero de operaciones realizadas en cada uno de los canales de distribuci(cid:243)n. Esta informaci(cid:243)n debe ser conservada por un tØrmino de 2 aæos. 2.3.3.2.4. Cuando a travØs de los distintos canales se pidan y se realicen donaciones, se debe generar y entregar un soporte incluyendo el valor de la donaci(cid:243)n y el nombre del beneficiario.

2.3.3.2.5. Conservar todos los soportes y documentos donde se hayan establecido los compromisos, tanto de las entidades como de sus clientes y las condiciones bajo las cuales Østas prestan sus servicios. Se debe dejar evidencia documentada de que los clientes las han conocido y aceptado. Esta informaci(cid:243)n debe ser conservada por lo menos por 2 aæos, contados a partir de la fecha de terminaci(cid:243)n de la relaci(cid:243)n contractual o en caso de que la informaci(cid:243)n sea objeto o soporte de una reclamaci(cid:243)n o queja, o cualquier proceso de tipo judicial, hasta el momento en que sea resuelto. 2.3.3.2.6. Llevar un registro de las consultas realizadas por los funcionarios de la entidad sobre la informaci(cid:243)n confidencial de los clientes, que contenga al menos lo siguiente: identificaci(cid:243)n del funcionario que realiz(cid:243) la consulta, canal utilizado

PARTE I – T˝TULO II – CAP˝TULO I P`GINA 10

Circular Externa 053 de 2016 Diciembre de 2016