Borrador de Normas. RESOLUCIÓN GE No.XXX/XX La Comisión Nacional de Bancos y Seguros,

Transcripción

1 XX de julio de 2012 INSTITUCIONES DEL SISTEMA FINANCIERO, EMISORAS Y PROCESADORAS DE TARJETAS DE CRÉDITO, COOPERATIVAS DE AHORRO Y CRÉDITO QUE VOLUNTARIAMENTE SE SUJETEN A LA SUPERVISIÓN DE LA CNBS, REDES DE CAJEROS AUTOMATICOS Toda la República CIRCULAR CNBS No.XXX/2012 Señores: El infrascrito Asistente de Secretaría de la Comisión Nacional de Bancos y Seguros, transcribe a ustedes la Resolución GE No.XXX/XX de la Comisión Nacional de Bancos y Seguros, que literalmente dice: RESOLUCIÓN GE No.XXX/XX La Comisión Nacional de Bancos y Seguros, CONSIDERANDO (1): CONSIDERANDO (2): CONSIDERANDO (3): CONSIDERANDO (4): Que de conformidad con lo dispuesto en el Artículo 13 numeral 2) de la Ley de la Comisión Nacional de Bancos y Seguros, corresponde a este Ente Supervisor dictar las normas prudenciales que se requieran para la revisión, verificación, control, vigilancia y fiscalización de las Instituciones Supervisadas, para lo cual se basará en la legislación vigente y en los acuerdos y prácticas internacionales. Que de conformidad al Artículo 50 de la Ley del Sistema Financiero, las Instituciones sujetas a dicha Ley, podrán ofrecer y prestar todos los productos y servicios descritos en la misma, por medios electrónicos. Que se hace necesario establecer lineamientos mínimos de seguridad física que deben ser observados en los locales donde se encuentren ubicados los cajeros automáticos que prestan servicios financieros a los clientes y/o usuarios de las instituciones supervisadas por la Comisión. Que a raíz de la múltiples denuncias presentadas ante la Comisión por clientes y/o usuarios de los cajeros automáticos, sobre operaciones de retiros en donde el efectivo no fue dispensado, o que de acuerdo con las cintas auditoras de dichos cajeros registra que la operación fue realizada en forma exitosa, sin embargo no hay evidencia de quien es la persona 1

2 que recibe el efectivo, así como de operaciones debitadas con retiros a sus cuentas y que el cliente y/o usuario del servicio asegura que no fueron realizada por éste; aspectos que hacen necesario que la Comisión emita lineamientos mínimos de seguridad física que deben cumplir los cajeros automáticos a fin de que los clientes y/o usuarios sean plenamente identificados. POR TANTO: Con fundamento en los artículos 13 numerales 2) de la Ley de la Comisión Nacional de Bancos y Seguros; y 50 de la Ley del Sistema Financiero; en sesión del XX de julio de 2012, 1. Aprobar las siguientes: RESUELVE: NORMAS SOBRE SEGURIDAD DE LOS CAJEROS AUTOMATICOS CAPÍTULO I DISPOSICIONES GENERALES Y DEFINICIONES Artículo 1. Objeto. Las presentes Normas tienen por objeto establecer las condiciones mínimas de seguridad física y de funcionamiento de los cajeros automáticos, todo ello con el propósito de prevenir riesgos en el patrimonio de las instituciones sujetas a estas Normas, así como de sus clientes y usuarios que los acceden, garantizando un buen servicio de atención de conformidad con las mejores prácticas de seguridad y calidad. Artículo 2. Alcance. Quedan sujetas a las presentes disposiciones las instituciones del sistema financiero, sociedades emisoras de tarjetas de crédito, redes de cajeros automáticos, cooperativas de ahorro y crédito que se sujeten voluntariamente a la supervisión de la Comisión y cualesquiera otras entidades supervisadas que realicen transacciones electrónicas de fondos por medio de cajeros automáticos administrados por ellas mismas o por terceros. Artículo 3. Definiciones. Para los efectos de las presentes Normas se establecen las siguientes definiciones: a) Cajeros automáticos: Conocidos por sus siglas en inglés ATM (Automated Teller Machine), son máquinas dispensadoras de dinero, equipadas con dispositivos electromecánicos que permiten a los clientes y/o usuarios de servicios financieros realizar, entre otros servicios, retiros y depósitos de efectivo, consultas de saldos y transferencias entre cuentas, y pagos de servicios, mediante el uso de tarjetas de débito o tarjetas de 2

3 crédito. Cuentan con mecanismos de seguridad, para permitir que sólo quien disponga de dicha tarjeta pueda realizar operaciones. Según su ubicación y el acceso al que tienen los usuarios de los servicios financieros, se distinguen dos tipos de cajeros automáticos: i) Cajeros automáticos internos: Aquellos instalados al interior de oficinas y agencias de las entidades. Se incluyen en esta definición los cajeros automáticos para ser operados desde vehículos; ii) Cajeros automáticos externos: Aquellos instalados en edificaciones o instalaciones distintas de las oficinas y agencias de la entidad, tales como: aeropuertos, hoteles, supermercados, centros comerciales y otros; b) Bóveda de Seguridad o caja fuerte: Equipo blindado ubicado en el interior del cajero automático para el resguardo de efectivo, el cual es sustituido para provisionar nuevas existencias de efectivo o corregir fallas del que se encuentra en operación; c) Cliente: persona natural o jurídica que contrata productos y servicios financieros de una institución supervisada sujeta a estas Normas, para lo cual utiliza los ATM; d) PIN: Clave secreta que permite al cliente y/o usuario acceder al sistema del cajero automático para efectuar sus operaciones. e) Red de cajeros propios: Son todos los cajeros automáticos que son propiedad de la institución emisora de la tarjeta de crédito o débito; f) Red de cajeros ajenos: Son todos los cajeros automáticos que no pertenecen al institución emisora de la tarjeta de crédito o débito; g) Seguridad física: Son todas las medidas que permiten disminuir el riesgo en el funcionamiento y la realización de operaciones en un cajero automático; h) Tarjeta de crédito: Medio o documento privado, firmado, nominativo e intransferible, resultante de un contrato de apertura de crédito que permite al titular o tarjetahabiente utilizarlo como medio de pago para adquirir bienes y servicios en comercios o instituciones afiliadas, o retirar dinero en efectivo en la entidad financiera y en dispensadores autorizados por el emisor; i) Tarjeta de débito: Medio de pago que le permite a su titular disponer de sus depósitos, para adquirir bienes o servicios en proveedores o comercios afiliados así como retirar dinero en cajeros automáticos, mediante el uso de una tarjeta de plástico con una banda magnética; j) Tarjetas propias: Son las tarjetas de crédito o débito propiedad de la institución emisora y son utilizadas en la red de sus cajeros automáticos; 3

4 k) Tarjetas ajenas: Son todas las tarjetas de crédito o débito cuando no son usadas en la red de cajeros automáticos propiedad de la entidad emisora; l) Tarjetas internacionales: Son todas las tarjetas de crédito o débito emitidas por una institución financiera del exterior y que son utilizadas en la red de cajeros automáticos ubicada en el país; m) Usuario: persona natural o jurídica que utiliza los servicios financieros de una institución supervisada sujeta a estas Normas, sin ser cliente de la misma, para lo cual utiliza los ATM; CAPÍTULO II INSTALACIÓN DE CAJEROS AUTOMÁTICOS Y MEDIDAS DE SEGURIDAD Artículo 4. Responsabilidad de los propietarios de los cajeros automáticos La instalación, funcionamiento, calidad y seguridad de las operaciones de los cajeros automáticos es responsabilidad de los propietarios de los mismos. Artículo 5. Instalación Las instituciones sujetas a las presentes Normas deben cumplir con las especificaciones técnicas de instalación y con las recomendaciones de utilización y mantenimiento proporcionadas por las empresas fabricantes del cajero automático. Artículo 6. Localización. Los cajeros automáticos se deben instalar en lugares que presten el mejor servicio a los clientes y usuarios de los mismos, se debe evitar su instalación en lugares que registren índices elevados de delincuencia o faciliten la comisión de actos delincuenciales, de acuerdo al análisis de riesgo realizado por la entidad. Artículo 7. Identificación. Todo cajero automático debe estar debidamente señalizado con el logo de la entidad financiera a la que pertenece, así como, las marcas internacionales a las cuales se encuentra afiliado. Artículo 8. Medidas de Seguridad Los cajeros automáticos externos deben contar con una de las siguientes medidas de seguridad: 1) Ser instalado en recinto, o 2) Contar con seguridad física. Se entiende por recinto al ambiente físico bajo el control de una entidad supervisada, que consta de una estructura cerrada, dentro de la cual se encuentra el cajero automático, así como las correspondientes instalaciones de soporte y seguridad. En el caso de ser instalados dos o más cajeros automáticos en un solo recinto, ya sea de la misma o de 4

5 diferentes entidades financieras, el recinto deberá contar adicionalmente con seguridad física. Se entiende por seguridad física al servicio de custodia del cajero automático ejercido por personal de seguridad capacitado perteneciente a organismos públicos o privados, las veinticuatro (24) horas del día durante todos los días del año de forma permanente. Artículo 9. Características de los recintos.- Los recintos en los que se encuentren instalados los cajeros automáticos, deben contar con: 1) Vidrios de seguridad: Vidrios transparentes que permiten observar el interior del recinto desde el exterior y viceversa, para detectar eventuales amenazas, sea contra la máquina o contra el cliente y/o usuario. El vidrio a utilizarse en las puertas de ingreso, así como aquel que forme parte de la estructura del recinto de los cajeros automáticos, debe ser vidrio de seguridad templado y laminado y, cumplir con las normas de calidad correspondientes. 2) Puerta de acceso. La puerta debe contar con un dispositivo de cierre interno, de tipo mecánico, que impida el acceso de terceros al interior del recinto cuando el cliente y/o usuario se encuentre utilizando el cajero automático. Artículo 10. Dispositivos. La pantalla, iluminación y accesorios de los cajeros automáticos deben cumplir con las condiciones siguientes: 1) Pantalla: Debe estar instalada en ángulos apropiados, o contar con medidas antirreflectantes, que eviten que la acción del reflejo del sol afecte la adecuada operación por parte del usuario. Asimismo, contar con elementos adicionales que protejan la confidencialidad de claves y datos ingresados por el cliente y/o usuario. 2) Iluminación: El espacio donde se encuentre ubicado el cajero automático, debe estar adecuadamente iluminado. 3) Accesorios: Todos aquellos accesorios adicionales de iluminación, aseo y decoración deben prevenir, desde su diseño e instalación, la comisión de actos de vandalismo a través de elementos de cierre y fijación, que eviten su retiro o la instalación de artefactos explosivos. 5

6 Artículo 11. Elementos de seguridad. Los cajeros automáticos deben contener los siguientes elementos: 1) Vigilancia y monitoreo: Sistema de vigilancia y monitoreo, que por medio de una cámara, permita registrar y almacenar imágenes de los eventos que ocurren en los cajeros automáticos. La cámara debe ser instalada para facilitar la identificación del cliente y/o usuario, contar con definición óptica de tipo digital y estar debidamente protegida y provista de generador o acumulador de energía. Ésta, debe ser ubicada en un sitio que no se reconozca fácilmente donde se encuentra instalada. 2) Alarmas. Sistemas que permitan alertar a la entidad financiera, centro policial, de los intentos de violentar al cajero automático o sus instalaciones. Artículo. 12- Otras medidas de seguridad Entre las otras especificaciones mínimas de seguridad que deberán reunir los cajeros automáticos, en cualquiera de sus aplicaciones para salvaguardar y minimizar los riesgos a los que están expuestos tanto los clientes y/o usuarios como los propios equipos durante su operación, están: A. Requisitos mínimos de seguridad física a) El cajero automático deberá traer de fábrica las preparaciones necesarias en su base para ser anclado con taquetes de expansión al piso en sus cuatro vértices a fin de evitar ser removido con facilidad; b) Como elemento periférico a la instalación del cajero automático dependiendo del modelo debe traer una base segura fabricada en lámina que proteja los anclajes al piso. De igual manera y dependiendo del análisis de riesgo de cada entidad, el cajero automático debe contar con un gabinete de seguridad para proteger los cableados de voz, datos y alimentación eléctrica, en aquellos casos en que los cables no puedan ir ocultos en la pared ni ahogados en el piso. Dicho gabinete deberá contar con chapa de seguridad y rejillas de ventilación reforzada; y c) El material de las paredes de la caja fuerte del cajero automático debe cumplir como mínimo con un estándar de seguridad. B. Requisitos mínimos de seguridad del equipo electrónico a) Las entidades propietarias de redes de cajeros automáticos deberán realizar y mantener actualizado un análisis de riesgo de sus cajeros automáticos, en el que se incluyan las medidas de seguridad física, equipo electrónico y de otra índole que requieran los equipos, siendo como mínimo lo siguiente: i) Sensores de bóveda abierta; 6

7 ii) Monitoreo electrónico del funcionamiento; y iii) Monitoreo físico de mantenimiento del equipo, que detecte objetos ajenos al equipo o cualquier anomalía en el mismo; b) Para el almacenamiento y comprobación de la información sobre transacciones realizadas, el cajero automático debe tener la capacidad de registrar dichas transacciones en forma electrónica, así como identificar en la cinta de auditoría la entrega del efectivo o billetes; c) Todos los cajeros automáticos, inclusive los internos, deben disponer de cámaras de vigilancia de buena resolución que permita la grabación continua de lo ocurrido en el espacio físico donde se encuentre instalado, a efecto de observar a los clientes y/o usuarios del servicio; Las entidades financieras propietarias, así como las responsables de la administración de los cajeros automáticos, deberán: d) Implementar programas de monitoreo continuo y de mantenimiento de sus recintos y de los cajeros automáticos instalados en éstos, así como velar por el adecuado funcionamiento de sus sistemas de seguridad, vigilancia y soporte; además, las entidades resguardarán los videos de seguridad de los cajeros por un plazo mínimo de ciento veinte (120) días; no obstante, de haber reclamos en los ciento veinte (120) días, el video se mantendrá hasta que se resuelva el caso en las instancias correspondientes; e) Mantener un registro histórico estadístico de incidentes acontecidos, de por lo menos dos (2) años ya sea en forma electrónica o impresa, que hayan afectado la seguridad física de sus cajeros automáticos de manera individual y su ubicación, así como de los casos que originaron denuncias ante las autoridades correspondientes, siempre y cuando se utilicen tarjetas propias en red de cajeros propios. Esto no aplica para tarjetas internacionales; f) Incluir en su plan de trabajo anual de auditoría interna la evaluación del funcionamiento de los cajeros automáticos; y g) Mantener activa las cintas de auditoría y conservarlas resguardadas por un plazo mínimo de seis (6) meses. C. Características mínimas de los espacios físicos El diseño de los espacios físicos o recintos donde se encuentren instalados los cajeros automáticos deberán garantizar la seguridad de sus clientes y/o usuarios en la realización de las operaciones, de acuerdo al análisis de riesgo de cada entidad y dependiendo del lugar en que se encuentren. 7

8 D. Otras Especificaciones a) Las entidades contratadas para que proporcionen el servicio a los cajeros automáticos deberán sujetarse a las especificaciones técnicas de instalación, así como a las recomendaciones de mantenimiento proporcionadas por el fabricante; b) Cada vez que el personal encargado dote de efectivo al cajero automático deberá revisar que éstos no tengan algún tipo de dispositivo para fraude; c) Las entidades deberán recibir sugerencias, atender reclamos de los clientes y/o usuarios, brindar asistencia en la prevención del fraude e informar sobre los procedimientos para el bloqueo y desbloqueo de las tarjetas. Para este efecto, las entidades que operen con cajeros automáticos deberán contar con una línea telefónica de emergencia de atención al cliente y/o usuario las 24 horas del día, todos los días del año, este servicio de atención será sin costo para el cliente y/o usuario del servicio; y d) En caso de existir reclamos debido a que el cajero automático no realizó la transacción solicitada, las entidades deberán probar técnicamente que existió el correcto funcionamiento del cajero, para refutar dichos reclamos. CAPÍTULO III INFORMACIÓN PROVISTA POR EL CAJERO AUTOMÁTICO Artículo 13. Ocultamiento de información confidencial Con la finalidad de preservar la confidencialidad sobre los datos del cliente y/o usuario, los comprobantes expedidos por el cajero automático que exponen información confidencial, tales como el número de cuenta y número de tarjeta, deberán ocultar parte de dicha información. Cuando la transacción sea de retiro de efectivo, los cajeros automáticos deberán emitir a requerimiento expreso del cliente y/o usuario el comprobante de la operación efectuada por éste, debiendo contener como mínimo el valor retirado y saldo actual. Artículo 14. Consulta de saldos y últimas aplicaciones Todo cajero automático deberá estar programado para que el cliente y/o usuario pueda, como mínimo, consultar sus saldos o los movimientos correspondientes al último mes de las cuentas asociadas a la tarjeta de débito o crédito en la red de cajeros propia. Artículo 15. Clave de identificación El cajero automático deberá estar programado para requerir al cliente y/o usuario la introducción de su clave secreta (PIN) u otro mecanismo de identificación, antes de iniciar la sesión. 8

9 El cliente y/o usuario podrá cambiar su clave secreta (PIN) cada vez que lo requiera y de acuerdo a las disposiciones que emita la entidad emisora correspondiente, siempre y cuando se utilice tarjeta de débito o crédito en red de cajeros propia, dicha disposición no aplica para tarjetas internacionales. Artículo 16. Límite en monto de operaciones Los clientes y/o usuarios de las entidades financieras podrán realizar retiros diarios de efectivo mediante tarjetas de débito o crédito, según las condiciones definidas por la entidad, debiendo respetar el límite establecido por ellas, aún en operaciones sucesivas, tanto en cajeros automáticos propios como en los de otras instituciones. Artículo 17. Información sobre operaciones habilitadas Las instituciones están en la obligación de proporcionar a los clientes y/o usuarios de sus cajeros automáticos, la información sobre las transacciones que pueden realizar, y, los cargos y comisiones que se cobran por el uso de los diferentes servicios en los cajeros automáticos de redes propias y con tarjetas propias. CAPÍTULO IV DISPOSICIONES FINALES Artículo 18. Período de adecuación Las instituciones supervisadas que a la entrada en vigencia de las presentes Normas, tengan cajeros automáticos internos y externos según su ubicación, tendrán como plazo máximo hasta el 30 de junio de 2013 para adecuarse a las disposiciones establecidas en estas Normas. Artículo 19. Publicidad de medidas de seguridad Las instituciones sujetas a estas Normas y que sean propietarias de cajeros automáticos, deberán divulgar mediante campañas educativas u otros medios de publicidad, las medidas de seguridad en la utilización de los cajeros automáticos para conocimiento de sus clientes. Artículo 20. Comunicación El inicio de operaciones, traslado o retiros de cajeros automáticos deberá ser comunicado de manera trimestral a la Comisión Nacional de Bancos y Seguros en forma impresa o electrónica. Artículo 21. Sanciones El incumplimiento a las disposiciones contenidas en las presentes Normas, serán sancionadas de conformidad a lo dispuesto en el Reglamento de Sanciones emitido por la Comisión Nacional de Bancos y Seguros. 9

10 Artículo 22. Casos no previstos La Comisión Nacional de Bancos y Seguros resolverá mediante resolución, los casos no previstos en las presentes Normas. Artículo 23. Vigencia Las presentes Normas entran en vigencia a partir del 1 de mes de 2012 y deberán ser publicadas en el diario oficial La Gaceta. 2. Comunicar la presente Resolución a las Instituciones del Sistema Financiero, Emisoras de Tarjetas de Crédito, Cooperativas de Ahorro y Crédito que voluntariamente se sujeten a la supervisión de la CNBS y Redes de Cajeros Automáticos. 3. Autorizar a la Secretaria de la Comisión Nacional de Bancos para que publique las presentes Normas en el diario Oficial La Gaceta. 10