SFC - Anexo Circular Externa 8 de 2018 (1)

SUPERINTENDENCIA FINANCIERA DE COLOMBIA En ese sentido, se entienden autorizadas las actividades de promoción de productos, así como la entrega y recepción de solicitudes de seguro y la implementación de mecanismos de comprobación de la asegurabilidad, de los productos asociados a los ramos indicados anteriormente. 1.2.1.7.2. Recaudo de primas y pago de indemnizaciones de cualquier ramo de seguros, así como la entrega de los soportes o comprobantes respectivos, lo cual en ningún caso implica que los corresponsales tomen la decisión de pago del siniestro. En ese sentido, se entienden autorizadas todas aquellas operaciones de recaudo, recepción, pago, transferencia y entrega de dinero. La entidad aseguradora debe definir con base en criterios técnicos, a partir de qué montos de indemnización el corresponsal deberá remitir al beneficiario a su sucursal más cercana con el fin de garantizar el pago de manera expedita. 1.2.1.7.3. Entrega y recepción de copias de pólizas y anexos, condiciones generales, particulares o extractos, certificaciones, documentos necesarios para la reclamación del siniestro, documentos informativos, informes, boletines y, en general, toda aquella información relacionada con los seguros comercializados a través de corresponsales. 1.2.2. Disposiciones generales para la prestación de servicios de las entidades vigiladas a través de sus corresponsales 1.2.2.1. Administración de los riesgos implícitos a la prestación de servicios a través de corresponsales. 1.2.2.1.1. Administración del riesgo operativo. Las entidades vigiladas autorizadas para prestar sus servicios a través de corresponsales deben ajustar su sistema de

administración de riesgo operativo (SARO) en todo aquello que resulte pertinente para la adecuada administración de ese riesgo. Como mínimo se deben contemplar los siguientes aspectos: 1.2.2.1.1.1. Los procesos, procedimientos, planes estratégicos, planes de continuidad del negocio, planes de contingencia. 1.2.2.1.1.2. Complementar y/o ajustar sus políticas, procedimientos y mecanismos de control interno, con el fin de adaptarlos a las condiciones propias de la prestación de sus servicios a través de corresponsales. 1.2.2.1.1.3. Adoptar políticas y establecer procedimientos para la selección, vinculación, capacitación, acompañamiento y desvinculación de los corresponsales contratados para la prestación de los servicios autorizados. Dichas políticas deben ser aprobadas por la junta directiva u órgano que haga sus veces. 1.2.2.1.2. Condiciones operativas para la prestación de servicios a través de corresponsales Con el fin de garantizar que la información de las operaciones realizadas a través de corresponsales se ejecute en condiciones de seguridad y calidad, las entidades vigiladas autorizadas para prestar sus servicios a través de corresponsales deben cumplir como mínimo los siguientes requerimientos, en relación con las terminales o medios tecnológicos que utilicen para tal efecto: 1.2.2.1.2.1. Realizar las operaciones en línea y en tiempo real. 1.2.2.1.2.2. Contar con mecanismos de identificación que permitan verificar que se trata de un equipo autorizado para prestar los servicios a través de los corresponsales. 1.2.2.1.2.3. Disponer de mecanismos y/o procedimientos que impidan la captura, almacenamiento, procesamiento,

visualización o transmisión de la información de las operaciones realizadas, para fines diferentes a los autorizados a las entidades vigiladas a través de los corresponsales. 1.2.2.1.2.4. Transmitir la información acerca de las operaciones realizadas, desde el terminal hasta la plataforma tecnológica de la entidad vigilada utilizando mecanismos de cifrado fuerte de conformidad con lo señalado en el subnumeral 2.3.4.1.5. del presente Capítulo. 1.2.2.1.2.5. Generar automáticamente el soporte de cada operación para ser entregado al cliente. En consecuencia, ante la falta de insumos o fallas técnicas que impidan la expedición del soporte, no puede prestarse ningún servicio a través del corresponsal. 1.2.2.1.2.6. Se deben establecer procedimientos para informar a los clientes aquellos casos en los que las operaciones no sean exitosas. 1.2.2.1.2.7. Permitir su manejo bajo diferentes perfiles de usuario para efectos de su administración, mantenimiento y operación. 1.2.2.1.2.8. Garantizar que las terminales o medios tecnológicos utilizados por los corresponsales para la realización de las operaciones cumplen los principios de atomicidad, consistencia, aislamiento y durabilidad, teniendo en cuenta las siguientes definiciones: 1.2.2.1.2.8.1. Atomicidad: Propiedad que asegura que una operación es indivisible y, por lo tanto, ante un fallo del sistema, no existe la posibilidad de que se ejecute sólo una parte. 1.2.2.1.2.8.2. Consistencia: Propiedad que asegura que únicamente se ejecutan aquellas operaciones que no van a romper las reglas y directrices de integridad de la base de datos.

1.2.2.1.2.8.3. Aislamiento: Propiedad que asegura que una transacción es una unidad de aislamiento, permitiendo que transacciones concurrentes se comporten como si cada una fuera la única transacción que se ejecuta en el sistema. Esto asegura que la realización de dos transacciones sobre la misma información sea independiente. 1.2.2.1.2.8.4. Durabilidad: Propiedad que asegura que una vez realizada la operación ésta persistirá y no se podrá deshacer aunque falle el sistema. Cuando una transacción termina de ejecutarse, toda la información debe grabarse en algún medio de almacenamiento, en donde se asegure que las actualizaciones no se perderán. 1.2.2.1.2.9. Disponer de centros de administración y monitoreo de las terminales o medios tecnológicos utilizados por sus corresponsales. 1.2.2.1.2.10. Contar con los medios necesarios para brindar la atención y soporte requeridos por los corresponsales para la debida prestación de sus servicios.

PARTE I – TÍTULO II – CAPÍTULO I PÁGINA 4

Circular Externa 008 de 2018 Junio de 2018 SUPERINTENDENCIA FINANCIERA DE COLOMBIA obstante lo anterior, es posible la contratación sin ninguna información sobre el estado del riesgo, caso en el cual debe entenderse que la entidad aseguradora asume el riesgo sin consideración respecto del estado del mismo. Los mecanismos de comprobación de la asegurabilidad deben identificar como mínimo aquella información necesaria para acreditar que el consumidor financiero cumple con las condiciones para ser asegurado (p. ej.: edad, profesión, características del empleo). Estos mecanismos deben permitir a la entidad aseguradora determinar si el tomador o

asegurado, dadas sus condiciones particulares al momento de contratación del seguro, se encuentra fuera del amparo del producto, es decir, que este no se encuentra afectado, previamente a la adquisición del seguro, por circunstancias que conducirían a una objeción en la reclamación del seguro. Las entidades aseguradoras deben abstenerse de celebrar contratos de seguro en aquellos casos en que el mecanismo de comprobación de asegurabilidad refleje que la cobertura no le es aplicable al tomador o asegurado. 1.3. Otros canales e instrumentos de prestación de servicios financieros En adición a la forma de prestación de servicios indicados en los numerales anteriores, se reconocen como canales en la distribución de los servicios ofrecidos por las entidades vigiladas, especialmente las que realizan intermediación financiera, los siguientes: 1.3.1. Cajeros Automáticos (ATM). 1.3.2. Receptores de cheques. 1.3.3. Receptores de dinero en efectivo. 1.3.4. POS (incluye PIN Pad). 1.3.5. Sistemas de Audio Respuesta (IVR). 1.3.6. Centro de atención telefónica (Call Center, Contact Center). 1.3.7. Sistemas de acceso remoto para clientes (RAS). 1.3.8. Internet. 1.3.9. Banca móvil. Como complemento de los canales señalados se reconocen dentro de los instrumentos adecuados en la prestación de estos servicios las tarjetas débito, tarjetas crédito, los móviles y demás dispositivos electrónicos que sirvan para realizar operaciones y las órdenes electrónicas como los elementos a través de los cuales se imparten las órdenes que

materializan las operaciones a través de los canales de distribución. Para los efectos de estas instrucciones se entiende por dispositivo el mecanismo, máquina o aparato dispuesto para producir una función determinada. 1.4. Uso de red Se imparten las instrucciones que deben atender las entidades vigiladas, en desarrollo de las modalidades de uso de red, establecidas en el art. 93 del EOSF y el art. 5 de la Ley 389 de 1997, así como en el Capítulo 2, Título 2, Libro 31 y el Título 1, Libro 34, de la Parte II del Decreto 2555 de 2010. 1.4.1. Modalidades de uso de red 1.4.1.1. Modalidad prevista en el art. 5 de la Ley 389 de 1997. Según lo establecido en el parágrafo del art. 2.34.1.1.1 del Decreto 2555 de 2010, se entiende como Red el conjunto de medios o elementos a través de los cuales sus prestadores suministran los servicios del usuario de la red al público. Forman parte de la Red los canales presenciales y no presenciales, los empleados y los sistemas de información que tenga habilitados el respectivo prestador. Son sistemas de información, el conjunto de elementos tecnológicos orientados al tratamiento y administración de datos destinados a la realización de las operaciones autorizadas por el art. 2.34.1.1.2 del Decreto 2555 de 2010. Son canales presenciales aquellos en los que el consumidor financiero asiste personalmente al mismo, tales como las oficinas, los cajeros automáticos, los receptores de cheques, los receptores de dinero en efectivo y los datáfonos (POS,

incluye PIN Pad). Son canales no presenciales aquellos en los que el consumidor financiero es atendido de manera remota, tales como la banca móvil, el internet, los sistemas de audio respuesta (IVR), los centros de atención telefónica (Call Center, Contact Center) y los sistemas de acceso remoto para clientes. 1.4.1.1.1. Contrato de uso de red Las entidades usuarias de la red deben remitir a la SFC los contratos en que se acuerde el uso de red, previamente a su celebración y con la antelación prevista en los arts. 2.31.2.2.4 y 2.34.1.1.4 del Decreto 2555 de 2010, según cada caso. En adición a lo establecido en el art. 2.34.1.1.3 del Decreto 2555 de 2010, los contratos deben contener al menos lo siguiente: 1.4.1.1.1.1. Identificación de las partes y objeto del contrato. 1.4.1.1.1.2. Los productos y operaciones que se van a promocionar y gestionar en virtud del contrato de uso de red, especificando en cada caso el detalle de los canales presenciales y no presenciales por medio de los cuales se prestará el servicio. Se debe indicar si los servicios incluirán la prestación del deber de asesoría, de acuerdo con lo dispuesto en el parágrafo 4° del art. 2.34.1.1.2 y el art. 3.1.4.1.3 del Decreto 2555 de 2010. 1.4.1.1.1.3. Las obligaciones de las partes asociadas al intercambio de información que permita garantizar un adecuado suministro de información a los consumidores financieros para cada producto específico; así como las que correspondan a

la administración del riesgo operativo y del riesgo de lavado de activos y financiación del terrorismo, asociados al desarrollo del contrato.

PARTE I – TÍTULO II – CAPÍTULO I PÁGINA 6

Circular Externa 008 de 2018 Junio de 2018 SUPERINTENDENCIA FINANCIERA DE COLOMBIA suministro de la información oportuna, amplia y suficiente a la cual tiene derecho el afiliado, tanto al momento de su vinculación como durante la vigencia de la misma, con ocasión de las prestaciones debidas por virtud de la mencionada afiliación. Las sociedades administradoras del SGP, cualquiera sea su modalidad, deben disponer lo pertinente para que fundamentalmente en las áreas de capacitación se difunda con suficiencia la calificación de no autorizada la práctica consistente en no informar adecuadamente a los posibles afiliados, al momento de efectuar la respectiva labor de promoción para su vinculación y, en general, las sanciones que corresponden por el incumplimiento de cualquiera de las obligaciones que les son propias a los promotores. 1.4.2.6. Libertad de selección del asegurador de la renta vitalicia: Las sociedades administradoras y, en su caso, los promotores deben sujetarse a lo previsto en el Decreto 719 de 1994 y las normas que lo desarrollen, cuando se trate de cumplir con la obligación de asesoría acerca de la selección de la entidad aseguradora de vida del contrato de renta vitalicia, cualquiera que sea la modalidad como lo que prevé el literal b. del art. 60 de la Ley 100 de 1993 y el literal j. del art.

14 del Decreto Ley 656 de 1994. 1.4.3. Instrucciones aplicables de manera específica a los promotores de las sociedades administradoras del SGP 1.4.3.1. Remuneración: La remuneración de los promotores de las sociedades administradoras del SGP consiste en el reconocimiento de la comisión que se hubiere pactado por su labor de mediación en la afiliación y, en tal sentido, su reconocimiento no debe estar atado al volumen de afiliaciones sino a una labor idónea y suficiente con la protección al consumidor del SGP. 1.4.3.2. Mecanismos de información sobre promotores: Con sujeción a lo dispuesto en el art. 2.6.10.3.2 del Decreto 2555 de 2010 y atendiendo los principios de la ley estatutaria de protección de datos, 1581 de 2012, las administradoras del SGP pueden disponer mecanismos privados de difusión acerca de los promotores que empleen, con el fin de constatar la existencia de inhabilidades, incompatibilidades, sanciones contractuales precedentes y, en general, cualquier información que resulte relevante para la operatividad de las redes de distribución del mencionado sistema. 1.4.3.3. Prohibiciones aplicables a los promotores: De conformidad con los art. 17 y 19 del Decreto 720 de 1994, son aplicables a los promotores de las sociedades administradoras del SGP las mismas facultades con que cuenta la SFC respecto de los intermediarios de seguros. En virtud de tal remisión, les resultan aplicables, entre otras disposiciones, las previstas en el art. 207 del EOSF en

particular la contenida en el numeral 3 que prevé como una prohibición la cesión de comisiones a favor del afiliado, el ofrecimiento de beneficios no garantizados o la exageración de los mismos, así como la sugestión tendiente a dañar negocios celebrados por competidores, el hacerse pasar por representante de una entidad sin serlo y, en general, todo acto de competencia desleal. 1.4.3.4. Régimen sancionatorio: En virtud de lo previsto en el art. 21 del Decreto 720 de 1994, el régimen sancionatorio aplicable a los promotores de las sociedades administradoras del SGP es el previsto en el EOSF, por lo cual resultan aplicables las previsiones contenidas en la parte séptima del mencionado Estatuto.

2. SEGURIDAD Y CALIDAD PARA LA REALIZACIÓN DE OPERACIONES 2.1. Alcance Las instrucciones de que trata el presente numeral deben ser adoptadas por todas las entidades sometidas a la inspección y vigilancia de la SFC, con excepción de Fondo de Garantías de Instituciones Financieras -FOGAFÍN-., Fondo de Garantías de Entidades Cooperativas-FOGACOOP-, Fondo Nacional de Garantías-FNG-, Fondo Financiero de Proyectos de Desarrollo-FONADE-, los Almacenes Generales de Depósito, los Fondos de Garantía que se constituyan en el mercado de valores, los Fondos Mutuos de Inversión, las Sociedades Calificadoras de Valores y/o Riesgo, las Oficinas de Representación de Instituciones Financieras y de Reaseguros del Exterior, los Corredores de Seguros y de Reaseguros, los Comisionistas Independientes de Valores, las Sociedades Comisionistas de Bolsas Agropecuarias y los Organismos de

Autorregulación. Sin embargo, las entidades exceptuadas de la aplicación del presente numeral, citadas en el párrafo anterior, deben dar cumplimiento a los criterios de seguridad y calidad de la información, establecidos en los subnumerales 2.3.1. y 2.3.2. subsiguientes. La obligación relacionada con la elaboración del perfil de las costumbres transaccionales de cada uno de sus clientes debe ser cumplida únicamente por los establecimientos de crédito, sin perjuicio de que las demás entidades, cuando lo consideren conveniente, la pongan en práctica. El subnumeral correspondiente al análisis de vulnerabilidades debe ser aplicado únicamente por los establecimientos de crédito, los administradores de sistemas de pago de bajo valor, las sociedades especializadas en depósitos y pagos electrónicos y las entidades vigiladas que permitan la ejecución de órdenes electrónicas para la transferencia de fondos, la compra, venta o transferencia de títulos valores y la emisión de pólizas de seguros, por sistemas de acceso remoto para clientes, Internet o dispositivos móviles, sin perjuicio de que las demás entidades, cuando lo consideren conveniente, pongan en práctica las instrucciones allí contenidas. Las entidades vigiladas que presten sus servicios a través de corresponsales deben sujetarse, para el uso de este canal de distribución, a las instrucciones contenidas en el subnumeral 1.2. del presente Capítulo. En todo caso las entidades vigiladas destinatarias de las instrucciones aquí contenidas, deben implementar los requerimientos exigidos atendiendo la naturaleza, objeto social y demás características particulares de su actividad. Las entidades vigiladas deben incluir en sus políticas y procedimientos relativos a la administración de la información, las

siguientes definiciones, criterios y requerimientos mínimos relativos a seguridad y calidad de la información que se maneja a través de canales e instrumentos para la realización de operaciones. 2.2. Definiciones aplicables 2.2.1. Vulnerabilidad informática: Ausencia o deficiencia de los controles informáticos que permiten el acceso no autorizado a los canales de distribución o a los sistemas informáticos de la entidad.

PARTE I – TÍTULO II – CAPÍTULO I PÁGINA 8

Circular Externa 008 de 2018 Junio de 2018 SUPERINTENDENCIA FINANCIERA DE COLOMBIA 2.2.2. Cifrado fuerte: Técnicas de codificación para protección de la información que utilizan algoritmos reconocidos internacionalmente, brindando al menos los niveles de seguridad ofrecidos por 3DES o AES. 2.2.3. Operaciones no monetarias: Son las acciones a través de las cuales se desarrollan, ejecutan o materializan los productos o servicios que prestan las entidades a sus clientes o usuarios y que no conllevan movimiento, manejo o transferencia de dinero. 2.2.4. Operaciones monetarias: Son las acciones que implican o conllevan movimiento, manejo o transferencia de dinero. 2.2.5. Autenticación: Conjunto de técnicas y procedimientos utilizados para verificar la identidad de un cliente, entidad o usuario. Los factores de autenticación son: algo que se sabe, algo que se tiene, algo que se es. 2.2.6. Mecanismos fuertes de autenticación: Se entienden como mecanismos fuertes de autenticación los siguientes: 2.2.6.1. Biometría. 2.2.6.2. Certificados de firma digital de acuerdo a lo establecido en la Ley 527 de 1999 y sus decretos reglamentarios.

2.2.6.3. OTP (One Time Password), en combinación con un segundo factor de autenticación. 2.2.6.4. Tarjetas que cumplan el estándar EMV, en combinación con un segundo factor de autenticación. 2.2.6.5. Registro y validación de algunas características de los computadores o equipos móviles desde los cuales se realizarán las operaciones, en combinación con un segundo factor de autenticación. 2.2.7. Proveedores de redes y servicios de telecomunicaciones: Son las empresas reguladas por la Comisión de Regulación de Comunicaciones y debidamente habilitadas por el Ministerio de Tecnologías de la Información y las Comunicaciones, responsables de la operación de redes y/o de la provisión de servicios de telecomunicaciones a terceros, de acuerdo a lo establecido en el art 1. de la Resolución 202 de 2010. 2.2.8 Ambiente de venta presente: transacciones en las cuales el instrumento de pago interactúa con el dispositivo de captura de información. 2.2.9 Ambiente de venta no presente: transacciones en las cuales el instrumento de pago no interactúa con el dispositivo de captura de información. 2.2.10. Entidades administradoras de pasarelas de pago: entidades que prestan servicios de aplicación de comercio electrónico para almacenar, procesar y/o transmitir el pago correspondiente a operaciones de venta en línea. 2.3. Criterios 2.3.1. Respecto de la seguridad de la información 2.3.1.1. Confidencialidad: Hace referencia a la protección de información cuya divulgación no está autorizada. 2.3.1.2. Integridad: La información debe ser precisa, coherente y completa desde su creación hasta su destrucción.

2.3.1.3. Disponibilidad: La información debe estar en el momento y en el formato que se requiera ahora y en el futuro, al igual que los recursos necesarios para su uso. 2.3.2. Respecto de la calidad de la información 2.3.2.1. Efectividad: La información relevante debe ser pertinente y su entrega oportuna, correcta y consistente. 2.3.2.2. Eficiencia: El procesamiento y suministro de información debe hacerse utilizando de la mejor manera posible los recursos. 2.3.2.3. Confiabilidad: La información debe ser la apropiada para la administración de la entidad y el cumplimiento de sus obligaciones 2.3.3 Requerimientos generales 2.3.3.1. En materia de seguridad y calidad de la información A fin de dar debida aplicación a los criterios antes indicados las entidades deben adoptar, al menos, las medidas que se relacionan a continuación: 2.3.3.1.1. Disponer de hardware, software y equipos de telecomunicaciones, así como de los procedimientos y controles necesarios, que permitan prestar los servicios y manejar la información en condiciones de seguridad y calidad. 2.3.3.1.2. Gestionar la seguridad de la información, para lo cual pueden tener como referencia el estándar ISO 27000, o el que lo sustituya. 2.3.3.1.3. Disponer que el envío de información confidencial y de los instrumentos para la realización de operaciones a sus clientes, se haga en condiciones de seguridad. Cuando dicha información se envíe como parte de, o adjunta a un correo electrónico, mensajería instantánea o cualquier otra modalidad de comunicación electrónica, ésta debe estar cifrada.

2.3.3.1.4. Dotar de seguridad la información confidencial de los clientes que se maneja en los equipos y redes de la entidad. 2.3.3.1.5. Velar porque la información enviada a los clientes esté libre de software malicioso. 2.3.3.1.6. Proteger las claves de acceso a los sistemas de información. En desarrollo de esta obligación, las entidades deben evitar el uso de claves compartidas, genéricas o para grupos. La identificación y autenticación en los dispositivos y sistemas de cómputo de las entidades debe ser única y personalizada. 2.3.3.1.7. Dotar a sus terminales, equipos de cómputo y redes locales de los elementos necesarios que eviten la instalación de programas o dispositivos que capturen la información de sus clientes y de sus operaciones.

PARTE I – TÍTULO II – CAPÍTULO I PÁGINA 9

Circular Externa 008 de 2018 Junio de 2018 SUPERINTENDENCIA FINANCIERA DE COLOMBIA 2.3.3.1.8. Velar porque los niveles de seguridad de los elementos usados en los canales no se vean disminuidos durante toda su vida útil. 2.3.3.1.9. Ofrecer los mecanismos necesarios para que los clientes tengan la posibilidad de personalizar las condiciones bajo las cuales realicen operaciones monetarias por los diferentes canales, siempre y cuando éstos lo permitan. En estos eventos se puede permitir que el cliente inscriba las cuentas a las cuales realizará transferencias, registre las direcciones IP fijas y el o los números de telefonía móvil desde los cuales operará. 2.3.3.1.10. Ofrecer la posibilidad de manejar contraseñas diferentes para los instrumentos o canales, en caso de que éstos

lo requieran y/o lo permitan.

PARTE I – TÍTULO II – CAPÍTULO I PÁGINA 9 - 1

Circular Externa 008 de 2018 Junio de 2018 SUPERINTENDENCIA FINANCIERA DE COLOMBIA 2.3.3.1.11. Establecer los mecanismos necesarios para que el mantenimiento y la instalación o desinstalación de programas o dispositivos en las terminales o equipos de cómputo sólo pueda ser realizado por personal debidamente autorizado. 2.3.3.1.12. Establecer procedimientos expeditos para el bloqueo de canales o de instrumentos para la realización de operaciones, cuando lo solicite el cliente, cuando existan situaciones o hechos que lo ameriten o después de un número de intentos de accesos fallidos, así como las medidas operativas y de seguridad para la reactivación de los mismos. 2.3.3.1.13. Elaborar el perfil de las costumbres transaccionales de cada uno de sus clientes y definir procedimientos para la confirmación oportuna de las operaciones monetarias que no correspondan a sus hábitos. 2.3.3.1.14. Realizar una adecuada segregación de funciones del personal que administre, opere, mantenga y, en general, tenga la posibilidad de acceder a los dispositivos y sistemas usados en los distintos canales e instrumentos para la realización de operaciones. En desarrollo de lo anterior, las entidades deben establecer los procedimientos y controles para el alistamiento, transporte, instalación y mantenimiento de los dispositivos usados en los canales de distribución de servicios. 2.3.3.1.15. Definir los procedimientos y medidas que se deben ejecutar cuando se encuentre evidencia de la alteración de los dispositivos usados en los canales de distribución de servicios financieros.

2.3.3.1.16. Sincronizar todos los relojes de los sistemas de información de la entidad involucrados en los canales de distribución. Se debe tener como referencia la hora oficial suministrada por el Instituto Nacional de Metrología de Colombia. 2.3.3.1.17. Tener en operación sólo los protocolos, servicios, aplicaciones, usuarios, equipos, entre otros, necesarios para el desarrollo de su actividad. 2.3.3.1.18. Contar con controles y alarmas que informen sobre el estado de los canales, y además permitan identificar y corregir las fallas oportunamente. 2.3.3.1.19. Incluir en el informe de gestión a que se refiere el art. 47 de la Ley 222 de 1995 –modificado por el art. 1 de la Ley 603 de 2000-, un análisis sobre el cumplimiento de las obligaciones enumeradas en la presente Circular. 2.3.3.1.20. Considerar en sus políticas y procedimientos relativos a los canales de distribución, la atención a personas con discapacidades físicas, con el fin de que no se vea menoscabada la seguridad de su información. 2.3.3.1.21. Los establecimientos de crédito deben adoptar mecanismos que le permitan atender las operaciones de los consumidores financieros, por los canales que resulten necesarios y por las cuantías que determine razonables, para garantizar un nivel mínimo de prestación de sus servicios a los consumidores financieros, cuando la entidad opere fuera de línea. 2.3.3.1.22. Los establecimientos de crédito deben enviar trimestralmente a la SFC, a la dirección de correo riesgooperativo@superfinanciera.gov.co, un informe sobre la disponibilidad mensual de cada uno de los canales por medio

de los cuales presta sus servicios en el que se incluya el detalle de la metodología utilizada para el cálculo de la disponibilidad. Se entiende por disponibilidad el porcentaje de tiempo que durante el mes el canal estuvo habilitado para la prestación del servicio. 2.3.3.1.23. Las entidades vigiladas deben informar a la SFC a la dirección de correo riesgooperativo@superfinanciera.gov.co, los eventos que afecten de manera significativa la confidencialidad, integridad o disponibilidad de la información manejada en los sistemas que soportan los canales de atención al cliente, haciendo una breve descripción del incidente y su impacto. Los incidentes se deben reportar tan pronto se presenten. Así mismo, deben remitir la información de la que trata el subnumeral 3.5.1. del Capítulo I del Título III de la Parte I de la CBJ. 2.3.3.2. En materia de documentación Las entidades deben cumplir, como mínimo, con los siguientes requerimientos: 2.3.3.2.1. Dejar constancia de todas las operaciones que se realicen a través de los distintos canales, la cual debe contener cuando menos lo siguiente: fecha, hora, código del dispositivo (para operaciones realizadas a través de IVR: el número del teléfono desde el cual se hizo la llamada; para operaciones por Internet: la dirección IP desde la cual se hizo la misma; para operaciones con dispositivos móviles, el número desde el cual se hizo la conexión), cuenta(s), número de la operación y costo de la misma para el cliente o usuario. En los casos de operaciones que obedecen a convenios, se debe dejar constancia del costo al que se refiere el presente numeral, cuando ello sea posible. 2.3.3.2.2. Velar porque los órganos de control, incluyan en sus informes la evaluación acerca del cumplimiento de los

procedimientos, controles y seguridades, establecidos por la entidad y las normas vigentes, para la prestación de los servicios a los clientes y usuarios, a través de los diferentes canales de distribución. 2.3.3.2.3. Generar informes trimestrales sobre la disponibilidad y número de operaciones realizadas en cada uno de los canales de distribución. Esta información debe ser conservada por un término de 2 años. 2.3.3.2.4. Cuando a través de los distintos canales se pidan y se realicen donaciones, se debe generar y entregar un soporte incluyendo el valor de la donación y el nombre del beneficiario. 2.3.3.2.5. Conservar todos los soportes y documentos donde se hayan establecido los compromisos, tanto de las entidades como de sus clientes y las condiciones bajo las cuales éstas prestan sus servicios. Se debe dejar evidencia documentada de que los clientes las han conocido y aceptado. Esta información debe ser conservada por lo menos por 2 años, contados a partir de la fecha de terminación de la relación contractual o en caso de que la información sea objeto o soporte de una reclamación o queja, o cualquier proceso de tipo judicial, hasta el momento en que sea resuelto. 2.3.3.2.6. Llevar un registro de