CIRCULAR
Bancos N° 3.578
Santiago, 17 de marzo de 2015
Señor Gerente:
RECOPILACIÓN ACTUALIZADA DE NORMAS. Capítulo 1-7.
Agrega normas sobre cajeros automáticos.
Resulta evidente que la masificación del uso de los medios de atención remota, particularmente a través de cajeros automáticos, ha beneficiado a los usuarios bancarios, permitiendo ampliar de forma significativa la cobertura de los principales servicios financieros de baja complejidad, particularmente para realizar giros de efectivo, con costos inferiores a los medios de atención presencial.
En este contexto, debido a la importancia que este medio ha adquirido para los clientes bancarios y las dificultades para asegurar una calidad de servicio adecuada y constante, se hace necesario dictar normas que establezcan algunas condiciones mínimas para el funcionamiento de los cajeros automáticos, especialmente en lo que se refiere a los tiempos de disponibilidad para efectuar giros de dinero.
Las normas que se imparten en el N° 1 de esta Circular, que se introducen dentro del Capítulo 1-7 de la Recopilación Actualizada de Normas, comprenden el establecimiento de un estándar de disponibilidad de servicio a través de parámetros comunes para su medición, así como la necesidad de que los bancos los incorporen en sus políticas para asegurar el cumplimiento de los niveles mínimos de servicio exigidos.
Para la implementación de las medidas necesarias para el cumplimiento de estas nuevas disposiciones, los bancos disponen del plazo que se indica en el N° 2 de la presente Circular.
1. Modificaciones al Capítulo 1-7 de la Recopilación Actualizada de Normas.
Se agrega al Capítulo 1-7 el siguiente N° 5:
"5. Cajeros automáticos.
5.1 Generalidades.
Los bancos son responsables, ya sea que el servicio se preste directamente o a través de terceros, del debido funcionamiento de su red de cajeros automáticos y del cumplimiento de los requisitos que se establecen a continuación. Dichos requerimientos se refieren a actividades relacionadas con la reposición de efectivo, mantención periódica de los dispositivos, monitoreo continuo del funcionamiento de las redes y sistemas sobre los que se sustenta el servicio, así como la oportuna resolución de los incidentes que pongan en riesgo la continuidad operacional.
Asimismo, dichas entidades deben velar por el cumplimiento de las exigencias legales en materia de seguridad pública aplicables a los cajeros automáticos y transporte de valores, precaviendo que tal responsabilidad se encuentre resguardada en los contratos que se celebren con terceros, especialmente cuando los dispositivos se encuentren ubicados fuera de las dependencias de un banco.
5.2 Definiciones.
Período de funcionamiento predefinido: Corresponde al lapso dentro del cual cada uno de sus cajeros automáticos tendrá la capacidad de dispensar dinero de manera continua.
Para efectos de determinar el período de funcionamiento predefinido de cada cajero automático, se deben considerar los horarios de funcionamiento de los establecimientos donde estos se encuentran emplazados.
Indicador de disponibilidad de servicio o Uptime: Se refiere al tiempo, respecto de un período de funcionamiento predefinido, en que los cajeros automáticos estuvieron habilitados para efectuar giros de dinero.
Indicador de indisponibilidad de servicio o Downtime: Período de tiempo dentro del lapso de funcionamiento predefinido, en que los cajeros automáticos no se encontraron habilitados para efectuar giros de dinero.
El Downtime de un cajero automático se computará como el cociente entre el tiempo en que el dispositivo no permitió realizar transacciones de retiro de efectivo y el período de funcionamiento predefinido
5.3 Estándares mínimos de disponibilidad de servicio.
La disponibilidad de servicio de los cajeros automáticos no podrá ser inferior a 95%. Por lo tanto, el Downtime de la red de cajeros automáticos de cada entidad deberá mantenerse dentro de un rango no superior al 5%. Esto, sin perjuicio de las políticas que defina el Directorio de cada entidad, relativas a establecer un límite de Downtime inferior.
Además de aquellas situaciones que puedan ser catalogadas como caso fortuito o fuerza mayor, las instituciones bancarias podrán descontar en dicha medición aquellos tiempos de indisponibilidad producidos por la necesidad de realizar ajustes a su dotación de cajeros automáticos, que se encuentren en proceso de adaptación a cambios en las regulaciones en materia de seguridad pública, debiendo para el efecto remitir a esta Superintendencia el plan asociado a su implementación. Asimismo, se podrán descontar del cómputo las indisponibilidades que resulten de actos vandálicos que inhabiliten la operatividad de los dispositivos. También se podrán restar aquellos casos relacionados con remodelaciones, traslados o cierres de los locales, cuando se trate de cajeros emplazados en establecimientos no dependientes de la administración de la propia institución, sin perjuicio de que esta situación deba ser adecuadamente informada a los usuarios.
El cómputo del referido índice de disponibilidad corresponderá a lo siguiente:
IMAGEN
5.4 Requisitos de gestión.
Sin perjuicio de las disposiciones contenidas en los números 1 y 2 del presente Capítulo y de lo indicado en materia de administración de riesgo operacional en el Capítulo 1-13 de esta Recopilación, el banco deberá contemplar dentro de sus políticas de gestión las siguientes medidas:
5.4.1. Sistemas de monitoreo.
Las entidades deben disponer de sistemas de monitoreo que permitan detectar, de manera continua, las fallas y causas que impidan el normal funcionamiento de los cajeros automáticos. Los sistemas de monitoreo dispuestos por las entidades deberán mantenerse activos durante la totalidad del período de funcionamiento predefinido de los dispositivos y contar con medidas de contingencia en caso de falla del sistema principal.
5.4.2 Información de gestión.
Los bancos deben mantener un sistema de información de gestión, que permita una oportuna identificación de las situaciones que afectan los índices de disponibilidad, tales como las fluctuaciones de demanda de efectivo, fallas en el funcionamiento del dispositivo o de su red de cajeros, así como la naturaleza, frecuencia y origen de las mismas. Dicho sistema debe generar los antecedentes necesarios para una adecuada y oportuna evaluación, tanto del cumplimiento de los estándares de disponibilidad de servicio definidos por la entidad, como de los establecidos en este Capítulo.
La información generada deberá ser dada a conocer periódicamente al Directorio o a quién haga sus veces, para una adecuada toma de decisiones.
5.4.3 Políticas y procedimientos de funcionamiento de los cajeros automáticos.
Los bancos deben mantener políticas y procedimientos formales, aprobados por el Directorio, para administrar los riesgos operacionales relacionados con el funcionamiento de su red de cajeros automáticos, el cumplimiento de los niveles mínimos de disponibilidad de servicio y los planes de regularización de los dispositivos afectados por siniestros graves, que puedan requerir la reposición de los mismos.
Las políticas y procedimientos también deben referirse a las condiciones generales que deberán cumplir los lugares donde se encuentren emplazados los dispositivos, acordes con la cobertura geográfica que se contempla mantener y la naturaleza o el tipo de establecimientos en que sean instalados (ej. sucursales del propio banco, estaciones de servicios, centros comerciales, etc.). Asimismo, deben considerar directrices para el establecimiento de las condiciones contractuales mínimas para la instalación de cajeros fuera de las dependencias de la institución.
El área o función que será responsable de la observancia de dichas políticas deberá quedar claramente definida.
5.4.4 Manejo de incidentes.
Para responder a los eventos que impidan el normal funcionamiento de los dispositivos, la institución deberá contar con la estructura necesaria para el manejo de incidentes, que le permitan evaluar cada situación y tomar oportunamente las medidas para su regularización.
La información que se presente al público, acerca de los problemas de funcionamiento de los cajeros automáticos deberá dar cuenta, en términos generales, del plazo estimado para las restitución del servicio.
5.5 Información a la Superintendencia.
Las instituciones bancarias deberán mantener sistemas de información que les permitan generar estadísticas del funcionamiento de su red de cajeros automáticos (identificación de los terminales, ubicación, disponibilidad de servicio, horarios de funcionamiento predefinidos, cantidad de interrupciones, causales de indisponibilidad, etc.), las cuales deben estar disponibles a solicitud de la Superintendencia".
2. Implementación y vigencia de las normas.
Será responsabilidad del Directorio de cada institución proveer las directrices necesarias para asegurar la adecuada implementación de los estándares de servicio a los que se refiere la presente Circular.
La aplicación integral de las nuevas disposiciones será obligatoria a contar del 1 de julio de 2015. No obstante lo anterior, a partir del mes de abril de 2015, las instituciones deberán iniciar el monitoreo del índice de disponibilidad de servicio mínimo, de acuerdo a las condiciones definidas en este Capítulo, y enviar a esta Superintendencia la información que se requiera para efectos de una adecuada implementación de las nuevas disposiciones.
Se reemplaza la hoja N° 5 del Capítulo 1-7 por las que se adjuntan.
Saludo atentamente a Ud.,
ERIC PARRADO HERRERA
Superintendente de Bancos e Instituciones Financieras
Capítulo 1-7
Hoja 5
Lo anterior, sin perjuicio de incorporar en sus procesos las mejores prácticas para la administración del riesgo operacional, de banca electrónica y los estándares internacionales que existen sobre la materia.
4.2. Prevención de fraudes.
Los bancos deberán contar con sistemas o procedimientos que permitan identificar, evaluar, monitorear y detectar en el menor tiempo posible aquellas operaciones con patrones de fraude, de modo de marcar o abortar actividades u operaciones potencialmente fraudulentas, para lo cual deberán establecer y mantener, de acuerdo a la dinámica de los fraudes, patrones conocidos de estos y comportamientos que no estén asociados al cliente.
Estos sistemas o mecanismos deberán permitir tener una vista integral y oportuna de las operaciones del cliente, del no cliente (por ejemplo en los intentos de acceso), de los puntos de acceso (por ejemplo direcciones IP, Cajero Automático u otros), hacer el seguimiento y correlacionar eventos y/o fraudes a objeto de detectar otros fraudes, puntos en que estos se cometen, modus operandi, y puntos de compromisos, entre otros.
4.3. Detección de Lavado de activos.
Las transferencias electrónicas de fondos dentro del mercado financiero pueden ser utilizadas como una herramienta más para realizar el lavado de activos. Para mitigar el riesgo de dicha práctica por esta vía, es necesario que las institucio- nes bancarias, complementando los esquemas de autentificación robusta, cuenten con mecanismos o herramientas de identificación, evaluación de riesgos, monito- reo y detección de lavado de activos, para facilitar dos aspectos principales: la detección de patrones predefinidos en la operación de lavado de activo y el rastreo transaccional para la detección de formas o prácticas emergentes mediante el aná- lisis de las desviaciones de comportamiento respecto a los estándares de cada uno de los clientes.
5. Cajeros automáticos.
5.1 Generalidades.
Los bancos son responsables, ya sea que el servicio se preste directamente o a través de terceros, del debido funcionamiento de su red de cajeros automáticos y del cumplimiento de los requisitos que se establecen a continuación. Dichos requerimientos se refieren a actividades relacionadas con la reposición de efectivo, mantención periódica de los dispositivos, monitoreo continuo del funcionamiento de las redes y sistemas sobre los que se sustenta el servicio, así como la oportuna resolución de los incidentes que pongan en riesgo la continuidad operacional.
Asimismo, dichas entidades deben velar por el cumplimiento de las exigencias legales en materia de seguridad pública aplicables a los cajeros automáticos y transporte de valores, precaviendo que tal responsabilidad se encuentre resguardada en los contratos que se celebren con terceros, especialmente cuando los dispositivos se encuentren ubicados fuera de las dependencias de un banco.
Capítulo 1-7
Hoja 6
5.2 Definiciones.
Período de funcionamiento predefinido: Corresponde al lapso dentro del cual cada uno de sus cajeros automáticos tendrá la capacidad de dispensar dinero de manera continua.
Para efectos de determinar el período de funcionamiento predefinido de cada cajero automático, se deben considerar los horarios de funcionamiento de los establecimientos donde estos se encuentran emplazados.
Indicador de disponibilidad de servicio o Uptime: Se refiere al tiempo, respecto de un período de funcionamiento predefinido, en que los cajeros automáticos estuvieron habilitados para efectuar giros de dinero.
Indicador de indisponibilidad de servicio o Downtime: Período de tiempo dentro del lapso de funcionamiento predefinido, en que los cajeros automáticos no se encontraron habilitados para efectuar giros de dinero.
El Downtime de un cajero automático se computará como el cociente entre el tiempo en que el dispositivo no permitió realizar transacciones de retiro de efectivo y el período de funcionamiento predefinido
5.3 Estándares mínimos de disponibilidad de servicio.
La disponibilidad de servicio de los cajeros automáticos no podrá ser inferior a 95%. Por lo tanto, el Downtime de la red de cajeros automáticos de cada entidad deberá mantenerse dentro de un rango no superior al 5%. Esto, sin perjuicio de las políticas que defina el directorio de cada entidad, relativas a establecer un límite de Downtime inferior.
Además de aquellas situaciones que puedan ser catalogadas como caso fortuito o fuerza mayor, las instituciones bancarias podrán descontar en dicha medición aquellos tiempos de indisponibilidad producidos por la necesidad de realizar ajustes a su dotación de cajeros automáticos, que se encuentren en proceso de adaptación a cambios en las regulaciones en materia de seguridad pública, debiendo para el efecto remitir a esta Superintendencia el plan asociado a su implementación. Asimismo, se podrán descontar del cómputo las indispo- nibilidades que resulten de actos vandálicos que inhabiliten la operatividad de los dispositivos. También se podrán restar aquellos casos relacionados con remodelaciones, traslados o cierres de los locales, cuando se trate de cajeros emplazados en establecimientos no dependientes de la administración de la propia institución, sin perjuicio de que esta situación deba ser adecuadamente informada a los usuarios.
El cómputo del referido índice de disponibilidad corresponderá a lo siguiente:
.Capítulo 1-7
Hoja 7
.5.4 Requisitos de gestión.
Sin perjuicio de las disposiciones contenidas en los números 1 y 2 del presente Capítulo y de lo indicado en materia de administración de riesgo operacional en el Capítulo 1-13 de esta Recopilación, el banco deberá contemplar dentro de sus políticas de gestión las siguientes medidas:
5.4.1. Sistemas de monitoreo.
Las entidades deben disponer de sistemas de monitoreo que permitan detectar, de manera continua, las fallas y causas que impidan el normal funcionamiento de los cajeros automáticos. Los sistemas de monitoreo dispuestos por las entidades deberán mantenerse activos durante la totalidad del período de funcionamiento predefinido de los dispositivos y contar con medidas de contingencia en caso de falla del sistema principal.
5.4.2 Información de gestión.
Los bancos deben mantener un sistema de información de gestión, que permita una oportuna identificación de las situaciones que afectan los índices de disponibilidad, tales como las fluctuaciones de demanda de efectivo, fallas en el funcionamiento del dispositivo o de su red de cajeros, así como la naturaleza, frecuencia y origen de las mismas. Dicho sistema debe generar los antecedentes necesarios para una adecuada y oportuna evaluación, tanto del cumplimiento de los estándares de disponibilidad de servicio definidos por la entidad, como de los establecidos en este Capítulo.
La información generada deberá ser dada a conocer periódicamente al Directorio o a quién haga sus veces, para una adecuada toma de decisiones.
5.4.3 Políticas y procedimientos de funcionamiento de los cajeros automáticos.
Los bancos deben mantener políticas y procedimientos formales, aprobados por el Directorio, para administrar los riesgos operacionales relacionados con el funcionamiento de su red de cajeros automáticos, el cumplimiento de los niveles mínimos de disponibilidad de servicio y los planes de regularización de los dispositivos afectados por siniestros graves, que puedan requerir la reposición de los mismos.
Capítulo 1-7
Hoja 8
Las políticas y procedimientos también deben referirse a las condiciones generales que deberán cumplir los lugares donde se encuentren emplazados los dispositivos, acordes con la cobertura geográfica que se contempla mantener y la naturaleza o el tipo de establecimientos en que sean instalados (ej. sucursales del propio banco, estaciones de servicios, centros comerciales, etc.). Asimismo, deben considerar directrices para el establecimiento de las condiciones contractuales mínimas para la instalación de cajeros fuera de las dependencias de la institución.
El área o función que será responsable de la observancia de dichas políticas deberá quedar claramente definida.
5.4.4 Manejo de incidentes.
Para responder a los eventos que impidan el normal funcionamiento de los dispositivos, la institución deberá contar con la estructura necesaria para el manejo de incidentes, que le permitan evaluar cada situación y tomar oportunamente las medidas para su regularización.
La información que se presente al público, acerca de los problemas de funcionamiento de los cajeros automáticos deberá dar cuenta, en términos generales, del plazo estimado para las restitución del servicio.
5.5 Información a la Superintendencia.
Las instituciones bancarias deberán mantener sistemas de información que les permitan generar estadísticas del funcionamiento de su red de cajeros automáticos (identificación de los terminales, ubicación, disponibilidad de servicio, horarios de funcionamiento predefinidos, cantidad de interrupciones, causales de indisponibilidad, etc.), las cuales deben estar disponibles a solicitud de la Superintendencia.