SFC - Cajero automático. Instalación. Autonomía de las vigiladas Concepto 2014073160-002 del 25 de agosto de 2014 -2014073160

CAJERO AUTOMÁTICO, INSTALACIÓN, AUTONOMÍA DE LAS VIGILADAS Concepto 2014073160-002 del 25 de agosto de 2014

Síntesis: La instalación de Cajeros Automáticos por parte de las entidades vigiladas, no requiere de la autorización previa de esta Superintendencia, razón por la cual cada Banco, de acuerdo con sus políticas de cobertura y de riesgo y en concordancia con los requerimientos mínimos de seguridad y calidad establecidos por este Organismo para la realización de operaciones, es autónomo en determinar las características y el número de Cajeros Automáticos que decide instalar en el país. «(…) correo electrónico mediante la cual consulta sobre ¿Cuáles (sic) de los bancos en Colombia tienen cajeros con depositaria de efectivo, o las denominadas máquinas recicladoras de efectivo? que son las que captan dinero lo clasifican, almacenan y luego lo distribuye mediante los retiros”.

En relación con su inquietud, le informamos que la instalación de Cajeros Automáticos por parte de las entidades vigiladas, no requiere de la autorización previa de esta Superintendencia, razón por la cual cada Banco, de acuerdo con sus políticas de cobertura y de riesgo y en concordancia con los requerimientos mínimos de seguridad y calidad establecidos por este Organismo para la realización de operaciones, es autónomo en determinar las características y el número de Cajeros Automáticos que decide instalar en el País. Así las cosas, la información particular y concreta sobre la infraestructura que tienen las entidades en su red de ATMs, la posee cada institución, no estando disponible en este Organismo de Control y Vigilancia.

Complementariamente, podemos informarle que esta Superintendencia, en desarrollo de sus facultades legales, ha expedido varios instructivos, que propenden por la seguridad y calidad para la realización de operaciones, entre los cuales se encuentra la Circular Externa 052 de 2007, modificada por las Circulares Externas 022 de 2010 y 042 de 2012, incorporadas en el Capítulo XII, Título Primero de la Circular Básica Jurídica (Circular Externa 007 de 1996). Los criterios fijados en estos instructivos, son de obligatorio cumplimiento para todas las entidades sometidas a la inspección, vigilancia y control de la Superintendencia Financiera de Colombia, con las excepciones previstas expresamente en el numeral 1 de tales Circulares1. La Circular Externa 042 de octubre 4 de 2012, es la instrucción más reciente, mediante la cual se realizaron algunas modificaciones al Capítulo Décimo Segundo del Título Primero de la Circular Básica Jurídica, en materia de requerimientos mínimos de seguridad y calidad para la realización de 1 “Circulares Externas 052 de 2010 y 042 de 2012

1. Ámbito de aplicación Las instrucciones de que trata el presente capitulo deberán ser adoptadas por todas las entidades sometidas a la inspección y vigilancia de la Superintendencia Financiera de Colombia (SFC), con excepción de las siguientes: el Fondo de Garantías de Instituciones Financieras “Fogafín”, el Fondo de Garantías de Entidades Cooperativas “Fogacoop”, el Fondo Nacional de Garantías S.A. “F.N.G. S.A.”, el Fondo Financiero de Proyectos de Desarrollo “Fonade”, los Almacenes Generales de Depósito, los Fondos de Garantía que se

constituyan en el mercado público de valores, los Fondos Mutuos de Inversión, los Fondos Ganaderos, las Sociedades Calificadoras de Valores y/o Riesgo, las Oficinas de Representación de Instituciones Financieras y de Reaseguros del Exterior, los Corredores de Seguros y de Reaseguros, los Comisionistas Independientes de Valores, las Sociedades Comisionistas de Bolsas Agropecuarias y los Organismos de Autorregulación”. operaciones, cuya implementación se hará en tres etapas, la primera de las cuales inicia el 1º de abril de 2013 y la última finaliza el 1º de octubre de 2014. Para su completa referencia, el texto completo de las Circulares Externas 042 de 2012, 022 de 2010 y 052 de 2007, se encuentran disponibles en nuestra página Web: www.superfinanciera.gov.co siguiendo esta ruta: Normativa / Normas / Circulares Externas/ Histórico de Circulares Externas, Cartas Circulares, Resoluciones desde el año 2005. Teniendo en cuenta las características propias de cada canal de distribución de servicios financieros2, la norma en comento ha establecido unos requerimientos mínimos particulares. En punto a los Cajeros Automáticos (ATM), la precitada Circular establece que éstos deberán como mínimo cumplir con los siguientes requerimientos: “ 4.2.1 Contar con sistemas de video grabación que asocien los datos y las imágenes de cada operación monetaria. Las imágenes deberán ser conservadas por lo menos ocho (8) meses o en el caso en que la imagen respectiva sea objeto o soporte de una reclamación, queja, o cualquier proceso de tipo judicial, hasta el momento en que sea resuelto.

4.2.2. Cuando el cajero automático no se encuentre físicamente conectado a una oficina, la información que viaja entre este y su respectivo sitio central de procesamiento se deberá proteger utilizando cifrado fuerte, empleando para ello hardware de propósito específico independiente. Las entidades deberán evaluar con regularidad la efectividad y vigencia del mecanismo de cifrado adoptado. 4.2.3. Los dispositivos utilizados para la autenticación del cliente o usuario en el cajero deben emplear cifrado. 4.2.4. Implementar el intercambio dinámico de llaves entre los sistemas de cifrado, con la frecuencia necesaria para dotar de seguridad a las operaciones realizadas. 4.2.5. Los sitios donde se instalen los cajeros automáticos deberán contar con las medidas de seguridad físicas para su operación y estar acordes con las especificaciones del fabricante. Adicionalmente, deben tener mecanismos que garanticen la privacidad en la realización de operaciones para que la información usada en ellas no quede a la vista de terceros. 4.2.6. Implementar mecanismos de autenticación que permitan confirmar que el cajero es un dispositivo autorizado dentro de la red de la entidad. 4.2.7. Estar en capacidad de operar con las tarjetas a que aluden los numerales 6.11 y 6.12 del presente capítulo.” Ahora, si bien es cierto que la Superintendencia Financiera, en desarrollo de sus facultades legales, imparte instrucciones sobre la forma como las entidades vigiladas deben cumplir las disposiciones que regulan su actividad, fijando criterios técnicos y jurídicos que faciliten su cumplimiento, también lo es

que en cumplimiento del principio de neutralidad tecnológica, no determina el cómo las instituciones financieras implementan el cumplimiento de los distintos requerimientos en los diferentes canales habilitados para la prestación de sus servicios, como los ATMS o Cajeros Automáticos para el caso de 2 Los canales de distribución de servicios financieros son: Oficinas, Cajeros Automáticos (ATM), Receptores de cheques, Receptores de dinero en efectivo, POS (incluye PIN Pad), Sistemas de Audio Respuesta (IVR), Centro de atención telefónica (Call Center, Contact Center), Sistemas de acceso remoto para clientes (RAS), Internet y Banca móvil. su consulta, de ahí que carecemos de estadísticas y características particulares como las señaladas en su escrito. (…).»