La Superintendencia Financiera de Colombia impartió nuevas instrucciones para la gestión del riesgo de ciberseguridad en las entidades vigiladas y estándares de seguridad para las pasarelas de pago con el fin de fortalecer la protección de la información de los consumidores financieros.

La Circular Externa 007 de 2018 se expidió teniendo en cuenta el auge de la digitalización de los servicios financieros, la mayor interconectividad de los agentes y la masificación en el uso de canales electrónicos, entre otros, y complementa las normas existentes con relación a la administración de los riesgos operativos y la seguridad de la información.

Así, la entidad vigilada deberá informar a los consumidores financieros sobre los incidentes cibernéticos que se hayan presentado y en los que se vieran afectadas la confidencialidad o integridad de su información, al igual que las medidas adoptadas para solucionar la situación.

Dentro de los requerimientos que deberán cumplir las entidades vigiladas en materia de ciberseguridad también está la conformación de una unidad que gestione los riesgos de seguridad de la información y la ciberseguridad.

En este aspecto, es importante la actualización permanente y especializada sobre las nuevas modalidades de ciberataques que pudieran llegar a afectar a la entidad, por lo que deben realizar capacitaciones periódicas para los funcionarios en ciberseguridad.

Adicionalmente, las entidades vigiladas deberán establecer una estrategia de comunicación e información para el envío de reportes a las autoridades que hacen parte del modelo nacional de gestión de incidentes cibernéticos.

Por otro lado, la Circular Externa 007 de 2018 establece que las entidades deberán incluir en el plan de continuidad del negocio la respuesta, recuperación, reanudación de la operación en contingencia y restauración ante la materialización de un ataque cibernético.

Estas nuevas instrucciones empezarán a regir dentro de seis meses y las entidades vigiladas deberán darle cumplimiento en tres etapas: la primera se deberá implementar dentro de los próximos seis meses; la segunda, dentro del año siguiente y la tercera durante los próximos 18 meses.

Operaciones con pasarelas de pago
La Superfinanciera expidió la Circular Externa 008 de 2018 mediante la cual se establecen mecanismos de protección de la información de los consumidores financieros al realizar operaciones monetarias usando los servicios de las pasarelas de pago.

En la norma se establecen los estándares de seguridad para que estas plataformas puedan prestar sus servicios a través de las entidades vigiladas por la Superfinanciera (bancos y redes de pago).

Cabe señalar que las administradoras de pago o pasarelas de pago no son entidades vigiladas por la Superintendencia Financiera y prestan servicios de aplicación de comercio electrónico para almacenar, procesar y/o transmitir el pago correspondiente a operaciones de venta en línea.

La Circular Externa 005 expedida por la Superintendencia Financiera el 2 de abril de 2018, imparte Instrucciones para el acceso de los exintegrantes de las FARC al sistema financiero, de acuerdo con lo establecido en el art. 21 del Decreto Ley 899 de 2017.

El siguiente es el texto completo de la Circular 005:

Apreciados señores:

De acuerdo con el parágrafo del artículo 21 del Decreto Ley 899 de 2017, la Superintendencia Financiera de Colombia (SFC) debe impartir las instrucciones necesarias para facilitar el acceso al sistema financiero y el depósito de los beneficios económicos del proceso de reincorporación a la vida civil de los exintegrantes de las Fuerzas Armadas Revolucionarias de Colombia, Ejército del Pueblo (FARC-EP).

Para tal propósito, en ejercicio de sus facultades legales consagradas en el parágrafo del artículo 21 del Decreto Ley 899 de 2017, el literal a) del numeral 3 del artículo 326 del Estatuto Orgánico del Sistema Financiero y el numeral 5 del artículo 11.2.1.4.2 del Decreto 2555 de 2010, la SFC imparte las siguientes instrucciones:

PRIMERA: Vinculación de los exintegrantes de las FARC que se hayan acogido a un proceso de reincorporación a la vida civil

Las entidades vigiladas por la SFC pueden vincular como clientes y ofrecer productos y servicios a los exintegrantes de las FARC que se hayan acogido a un proceso de reincorporación a la vida civil y a toda persona jurídica en que figuren éstos como asociados, aportantes o agremiados, de acuerdo con el ordenamiento jurídico vigente.

Las entidades vigiladas por la SFC deben abstenerse de exigir requisitos adicionales más gravosos, no contemplados en normas que regulen la vinculación como clientes o la prestación de servicios financieros.

Los reincorporados pueden manejar recursos obtenidos en virtud de los programas de reintegración económica establecidos en el ordenamiento jurídico vigente, así como cualquier otros, caso en el cual, es deber de las entidades vigiladas establecer mecanismos para validar razonablemente el origen de los mismos.

SEGUNDA: Calidad de reincorporado

Los reincorporados de las FARC acreditados por la Oficina del Alto Comisionado para la Paz deben ser tratados en igualdad de condiciones frente al resto de la población y no ser objeto de discriminación para acceder al sistema financiero.

La calidad de reincorporado no podrá ser considerada por sí sola como una causal válida para negar la vinculación como cliente o la prestación de un servicio financiero

TERCERA: Identificación de los exintegrantes de las FARC que se hayan acogido a un proceso de reincorporación a la vida civil

Para el caso de exintegrantes de las FARC, las entidades vigiladas por la SFC podrán admitir excepcionalmente como documento de identificación del cliente la contraseña expedida por la Registraduría Nacional del Estado Civil, la Visa Especial Residente Paz, la acreditación expedida por la Oficina del Alto Comisionado para la Paz o cualquier otro documento autorizado por una norma especial, que permita identificar a esta población.

En todo caso, corresponde a la entidad vigilada actualizar dicha información una vez se haya expedido el documento final de identificación del cliente.

CUARTA: Verificación de pertenencia a los programas de reincorporación de los exintegrantes de las FARC

Para la aplicación de lo dispuesto en esta circular, las entidades vigiladas deben verificar la condición de reincorporado a través de la Agencia de Normalización y Reincorporación o de cualquier mecanismo al que haga referencia el Decreto Ley 899 de 2017 o cualquier norma que haga sus veces, previa manifestación de dicha condición expuesta por el solicitante.

QUINTA: Seguimiento del cliente

Teniendo en cuenta que corresponde a las entidades vigiladas administrar y gestionar el riesgo de LAFT y sin perjuicio de las medidas de conocimiento del cliente establecidas en el Capítulo IV, Título IV, Parte I de la Circular Básica Jurídica, éstas podrán establecer mecanismos especiales para determinar razonablemente la fuente y el uso de los fondos, así como llevar a cabo un control y monitoreo continuo y diferencial de la relación comercial, sin que lo anterior constituya una limitante para el uso de los productos y servicios financieros contratados.

SEXTA: Cumplimiento de compromisos internacionales de Colombia

Las entidades vigiladas por la SFC deben consultar de manera previa a la vinculación del reincorporado, las listas internacionales vinculantes y restrictivas para Colombia y dar cumplimiento a las obligaciones derivadas de éstas.

Cuando el reincorporado se encuentre designado en las listas restrictivas, las entidades vigiladas tienen la discrecionalidad para establecer la viabilidad de la relación contractual con el mismo para lo cual podrán establecer mecanismos que les permitan administrar el riesgo de LAFT según sea el caso.

La presente Circular Externa rige a partir de la fecha de su publicación.

Cordialmente,

JORGE CASTAÑO GUTIÉRREZ
Superintendente Financiero de Colombia