SFC - Seguridad bancaria. Protección en oficinas Concepto 2010007753-001 del 22 de febrero de 2010. id2010007753

SEGURIDAD BANCARIA, PROTECCIÓN EN OFICINAS Concepto 2010007753-001 del 22 de febrero de 2010.

Síntesis: Requerimientos que deben cumplir las entidades vigiladas en relación con las operaciones realizadas en sus oficinas. Cada entidad debe adoptar los mecanismos de seguridad que, a su juicio y por virtud del profesionalismo y conocimiento de los riesgos que comporta la actividad que le es característica, estime suficientes para minimizar la ocurrencia de situaciones que afecten el normal desarrollo de sus operaciones o los intereses de sus clientes y usuarios. «(…) plantea varias inquietudes en relación con los requerimientos que deben observar los establecimientos bancarios al interior de sus oficinas, para la protección y seguridad del público que a ellos acude.

Sobre el particular, encontramos pertinentes los siguientes comentarios, con posterioridad a los cuales nos referiremos a cada una de sus inquietudes, en el mismo orden en que éstas fueron planteadas y de manera general, personal y abstracta, esto es, sin que tengan relación o aplicación con hechos o personas concretos, ya que éstos no fueron objeto de la mencionada comunicación:

1. Consideraciones generales: 1.1. En relación con las entidades que vigila esta Superintendencia, resulta pertinente anotar que cada institución goza de autonomía y libertad para adoptar los mecanismos de seguridad que, a su juicio y por virtud del profesionalismo y conocimiento de los riesgos que comporta la actividad que le es característica, estime suficientes para minimizar la ocurrencia de situaciones que afecten el normal desarrollo de sus operaciones o los intereses de sus clientes y usuarios. 1.2. Sin perjuicio de lo anterior esta Superintendencia, en desarrollo de sus facultades

legales, ha expedido varios instructivos que propenden por la seguridad y calidad en el manejo de la información de los clientes a través de los diferentes medios y canales dispuestos por las entidades vigiladas para su atención. 1.3. La Circular Externa 052 de octubre 25 de 2007 es la instrucción más reciente, en la cual se establecen una serie de medidas encaminadas a fortalecer la seguridad y la calidad en el manejo de la información de los clientes y usuarios de las entidades vigiladas por la Superintendencia Financiera de Colombia, bien sea que acudan directamente a las oficinas, a cualquiera de los medios (tarjetas débito y crédito) o de los canales (cajeros automáticos, receptores de cheques, receptores de dinero en efectivo, datáfonos, sistemas de audio respuesta –IVR-, centros de atención telefónicaCall Center, Contac Centersistemas de acceso remoto para clientes, Internet y dispositivos móviles) a través de los cuales éstas prestan sus servicios. La implementación de las medidas establecidas en la citada circular se previó en tres (3) etapas, la primera de las cuales desde el 1° de julio de 2008 y la última, hasta el 1º de enero de 2010. 1.4. Para su referencia, el texto completo de la Circular Externa 052 de 2007, se encuentra disponible en la siguiente dirección electrónica: http://www.superfinanciera.gov.co/NormativaFinanciera/Archivos/ce052_07.rtf 1.5. La mencionada circular establece una serie de obligaciones generales (numeral 3), que aplican a todos los canales, y otras específicas, según el tipo de canal. En relación

con las operaciones realizadas en oficinas (canal en que se centra su consulta), el numeral 4.1. del instructivo en comento indica que las entidades deben cumplir, como mínimo, con los siguientes requerimientos, en relación con aquellas en las que se realicen transacciones1: • Los sistemas informáticos empleados para la prestación de servicios en las oficinas deben contar con soporte por parte del fabricante o proveedor. • Los sistemas operacionales de los equipos empleados en las oficinas deben cumplir al menos con el nivel de seguridad C2 (protección de acceso controlado). • Contar con cámaras de video, las cuales deben cubrir al menos el acceso principal y las áreas de atención al público. Las imágenes deberán ser conservadas por lo menos un (1) año o en el caso en que la imagen respectiva sea objeto o soporte de una reclamación, queja, o cualquier proceso de tipo judicial, hasta el momento en que sea resuelto. • Disponer de los mecanismos necesarios para evitar que personas no autorizadas atiendan a los clientes o usuarios en nombre de la entidad. • La información que viaja entre las oficinas y los sitios centrales de las entidades deberá estar cifrada usando hardware de propósito específico, o software, o una combinación de los anteriores. Para los Establecimientos de Crédito el hardware o software empleados deberán ser totalmente separados e independientes de cualquier otro dispositivo o elemento de procesamiento de información, de seguridad informática, de transmisión y/o recepción de datos, de comunicaciones, de conmutación, de enrutamiento, de gateways, servidores de acceso remoto (RAS) y/o de concentradores. En cualquiera de los casos anteriores se deberá emplear cifrado fuerte. Las entidades deberán evaluar con

regularidad la efectividad y vigencia de los mecanismos de cifrado adoptados. • Establecer procedimientos necesarios para atender de manera segura y eficiente a sus clientes en todo momento, en particular cuando se presenten situaciones especiales tales como: fallas en los sistemas, restricciones en los servicios, fechas y horas de mayor congestión, posible alteración del orden público, entre otras, así como para el retorno a la normalidad. Las medidas adoptadas deberán ser informadas oportunamente a los clientes y usuarios. • Contar con los elementos necesarios para la debida atención del público, tales como: lectores de código de barras, contadores de billetes y monedas, PIN Pad, entre otros, que cumplan con las condiciones de seguridad y calidad, de acuerdo con los productos y servicios ofrecidos en cada oficina. 1.6. De otro lado, en virtud de lo dispuesto en la Circular Externa 041 de 2007, también expedida por esta Superintendencia, las entidades por ella vigiladas deben llevar un registro de sus eventos de riesgo operativo, con el propósito de identificar, 1 Operaciones que impliquen movimiento de dinero: retiros, transferencias, depósitos, pagos, etc. prevenir, mitigar y corregir las causas que los produzcan. Lo anterior constituye un avance en materia de administración y control de los riesgos operativos de estas entidades. Para su referencia, puede consultar esta norma en la siguiente dirección electrónica: http://www.superfinanciera.gov.co/NormativaFinanciera/Archivos/ance041_07.doc

2. Respuesta a los interrogantes formulados: 2.1. Primera pregunta: “Que reglamentación tiene vigente esa superintendencia sobre la seguridad que deben o tienen que adoptar los Bancos para brindarle seguridad a los

usuarios que se encuentran dentro de sus instalaciones, acudiendo a sus servicios (sic) de la entidad bancaria bien sea retirando o consignando dinero en sus cuentas.” Respuesta: la Circular Externa 052, expedida el 25 de octubre de 2007 por esta Superintendencia, en lo relacionado con el canal “oficinas”, así como la Circular Externa 041 de 2007, de que trata el numeral 1.6. anterior. 2.2. Segunda pregunta: “Es obligatorio para los bancos tener servicio de vigilancia privada dentro de sus instalaciones para la protección y seguridad del público que a ellos acude” Respuesta: como se indicó en los numerales 1.1. y 1.6. de la presente comunicación, cada entidad debe adoptar los mecanismos de seguridad que, a su juicio y por virtud del profesionalismo y conocimiento de los riesgos que comporta la actividad que le es característica, estime suficientes para minimizar la ocurrencia de situaciones que afecten el normal desarrollo de sus operaciones o los intereses de sus clientes y usuarios. Cabe anotar que los requerimientos mínimos de seguridad y calidad en el manejo de la información, establecidos por esta Superintendencia para el canal “oficinas”, son los que se relacionan en el numeral 1.5. anterior, dentro de los cuales no se encuentra el “servicio de vigilancia privada”. 2.3. Tercera pregunta: “En caso de un atraco dentro del banco donde roban a todos los usuarios que hacen fila, es diferente la responsabilidad del banco respecto con (sic) el titular de la cuenta que allí es atracado (contractual), con la del usuario común que hace alguna consignación? (extracontractual).” Respuesta: una respuesta a la inquietud formulada dependerá de un análisis

concienzudo de los hechos y pruebas relacionados con la comisión del presunto ilícito, los cuales deben ser valorados por la autoridad judicial competente para el efecto, dentro de las formas propias del proceso correspondiente. Esta Superintendencia carece de competencia para pronunciarse sobre los asuntos por usted mencionados, aún a manera de hipótesis, así como sobre la concurrencia de los elementos propios de cada uno de los tipos de responsabilidad por usted enunciados, en el caso planteado en su consulta. 2.4. Cuarta pregunta: “¿Qué antecedentes o quejas solucionadas ha tenido esa Superintendencia por atracos a los usuarios dentro de las instalaciones bancarias, donde la entidad no tiene ningún tipo de vigilancia privada, salvo el monitoreo electrónico y las cámaras (sic)” Respuesta: 2.4.1. Las funciones de la Superintendencia Financiera de Colombia son netamente administrativas y regladas, es decir que sólo puede hacer aquello que la Constitución Nacional y la ley expresamente le autorizan. De conformidad con lo anterior, esta entidad no está facultada legalmente para adelantar investigaciones o “solucionar” quejas relacionadas con la comisión de delitos (hurto o “atraco”), tendientes a individualizar a los autores, determinar responsabilidades civiles o penales, u ordenar reembolsos o indemnizaciones. El numeral 10.4. de la Circular Básica Jurídica, referido al trámite de las quejas, indica que: “Dentro del plazo fijado para cada trámite en particular, la entidad vigilada deberá responder directamente y por escrito al quejoso en la forma señalada en este numeral, suministrando la información y las explicaciones que juzgue pertinentes. De dicha

comunicación se enviará una copia a la Superintendencia Bancaria, junto con los documentos que, como soporte, se hubieren entregado al peticionario. Así mismo, deberá suministrar, a la Superintendencia Bancaria, las explicaciones que ésta le hubiere solicitado, sin perjuicio de las instrucciones y procedimientos específicos que, en ejercicio de sus facultades y para cada situación en particular, esta autoridad administrativa considere preciso aplicar en relación con la queja y la respuesta. La respuesta de la entidad vigilada al quejoso, deberá ir fechada y con la dirección correcta. Además, deberá ser completa, clara, precisa y comprensible, contener la solución o aclaración de lo reclamado y los fundamentos legales, estatutarios o reglamentarios que soporten la posición de la entidad, junto con los documentos que, de acuerdo con las circunstancias, se estimen apropiados para respaldar las afirmaciones o conclusiones sostenidas por la institución.” (Subrayas fuera de texto original) 2.4.2. Una eventual actuación administrativa sobre el particular, además de ceñirse a lo indicado para el trámite de las quejas, antes mencionado, podría llegar a analizar un presunto incumplimiento de los instructivos reseñados en el numeral 1 anterior por parte de la entidad vigilada, en relación con hechos y pruebas específicos. 2.4.3. Respecto de la vigilancia privada como medida de seguridad al interior de las oficinas bancarias, nos hemos pronunciado en el numeral 2.2. anterior. 2.4.3. La clasificación de las quejas puede ser consultada en la página Web de esta entidad: www.superfinanciera.gov.co, bajo el icono “Consumidor Financiero” y el

enlace “Quejas”. 2.5. Quinta pregunta: “¿Se considera seguridad para el usuario para proteger sus dineros a depositar, estando dentro del banco haciendo una fila, unas cámaras de seguridad y alarma de monitoreo?” Respuesta: sírvase remitirse a los numerales 1.1., 1.5., y 1.6. de este documento, en los cuales nos hemos pronunciado sobre el objeto de su pregunta. 2.6. Sexta pregunta: Es permitido a los bancos no contratar vigilancia privada para la protección de los usuarios dentro de sus instalaciones haciendo fila para el depósito de sus dineros?

Respuesta: respecto de la vigilancia privada como medida de seguridad al interior de las oficinas bancarias, nos hemos pronunciado en el numeral 2.2. anterior.

(…).»