Cuando se habla de evolución del panorama financiero en Colombia, tenemos que mencionar que esta ha estado marcada por una serie de regulaciones y normativas emitidas por la Superintendencia Financiera y respaldadas por leyes y decretos gubernamentales. Entre estas, la Circular Externa 004 de 2024 , la cual se erige como un hito significativo, delineando pautas y directrices para la transformación de la banca digital en el país relacionadas con finanzas abiertas.
A continuación, exploraremos las capacidades de la CE 004 de 2024 SFC y su relación jurídica con otras normativas financieras, así como las oportunidades de negocio que emergen, las responsabilidades de los actores no vigilados, así como las fortalezas y debilidades del modelo de intercambio de información.
Para desarrollar el contenido del presente artículo iremos abordando y analizando los temas relacionados a continuación:
Capacidad de la Circular Externa 004 y su Relación Jurídica
El Mandato de la Circular Externa 004
La Circular Externa 004 del 7/02/2024, emitida por la Superintendencia Financiera de Colombia, establece un marco regulatorio integral para la transformación digital y la banca digital en el sector financiero. Esta normativa está respaldada por diversas leyes y decretos, entre ellos el Decreto 1297 de 2022 (julio 25), la Ley Estatutaria 1266 de 2008(diciembre 31), Ley 1328 de 2009(julio 15) y Ley Estatutaria 1581 de 2012 (octubre 17), que garantizan la protección de datos y la seguridad de las transacciones financieras.
Implicaciones de las Leyes y Decretos Relacionados
La Ley 1328 de 2009 (julio 15) y la Ley Estatutaria 1581 de 2012 (octubre 17), complementan el marco regulatorio al abordar aspectos como la inclusión financiera, la protección al consumidor y la privacidad de la información. Estas leyes proporcionan un marco legal sólido para el desarrollo de servicios financieros digitales y promueven la confianza del consumidor en el uso de plataformas digitales.
Fortalezas del Modelo de Intercambio de Información
El modelo de intercambio de información establecido por la Circular Externa 004 del 7/02/2024 facilita la colaboración entre entidades financieras vigiladas y no vigiladas. Esto promueve la interoperabilidad de los sistemas y la eficiencia en la prestación de servicios financieros digitales. Además, fomenta la innovación al permitir la integración de nuevas tecnologías y soluciones en el sector financiero.
Análisis al Capítulo IX en el Título I de la Parte I de la Circular Básica Jurídica “Reglas relativas a las finanzas abiertas”
Las finanzas abiertas representan un cambio significativo en la forma en que se gestionan y comparten los datos financieros, lo que a su vez, abre nuevas oportunidades de negocio y modelos de monetización para las entidades vigiladas y los terceros receptores de datos. A continuación, se destacan los aspectos más importantes y los mecanismos de monetización presentes en esta regulación:
1. Consideraciones Generales
- Las finanzas abiertas se definen como la práctica mediante la cual las entidades financieras vigiladas abren sus sistemas para compartir la información de los consumidores financieros de manera estandarizada con otras entidades vigiladas o terceros, con la autorización del consumidor y con el propósito de ofrecer servicios. Para esto se hace necesario desplegar una capacidad masiva de autorización para que el cliente de la entidad financiera pueda exponer dicha autorización con el consentimiento y alcance autorizado previamente.
- La regulación establece estándares tecnológicos, de seguridad y otros necesarios para el desarrollo de las finanzas abiertas, con el fin de garantizar la protección de los datos de los consumidores y la integridad del sistema financiero.
2. Terceros Receptores de Datos
- Las entidades vigiladas deben vincular a los terceros receptores de datos y establecer políticas y procedimientos para su vinculación, cumpliendo con requisitos específicos como estar inscritos en el Registro Nacional de Bases de Datos y contar con procedimientos para gestionar riesgos de seguridad de la información.
- Los terceros receptores de datos deberán contar con capacidades para realizar atención de consultas y reclamos; si bien no se establece que estemos hablando de entornos masivos de atención, de ser posible expuestos en canales digitales con la finalidad de minimizar costos, mejorar la experiencia del cliente y disminuir los tiempos de espera.
- Los terceros receptores de datos deberán:Gestionar todos los riesgos asociados al tratamiento de datos personales del consumidor financiero, recomendando marcos de referencia como ISO 270001, NIST Cibersecurity Framework, OWASP ASVS, para lo cual se recomienda la aplicación de la última versión de cada uno; pero no se especifica o aclara cual es el grado de implementación y/o madurez en la organización.Permanencia de todos los datos de manera cifrada cifrado tanto en almacenamiento, procesamiento o transferencia de información, recomendando algoritmos como AES o RSA.Contar con sistemas de monitoreo de la información expuesta o consumida en el entorno de Finanzas Abiertas, tomar en cuenta que este requerimiento tiene su contraparte para las entidades Vigiladas, con el fin de confirmar la trazabilidad total de los datos que se intercambian en el ecosistema financiero de principio a fin. Cumplir con los estándares de seguridad y tener certificaciones específicas, como la certificación PCI-DSS, para avalar la protección de los datos que puedan ser almacenados, procesados y/o transmitidos contenidos en tarjetas débito o crédito. Informar a la entidad Vigilada en el menor tiempo posible, sobre cualquier evento relacionado con la seguridad de la información intercambiada con dicha entidad y su posible efecto sistémico en el ecosistema financiero. Contar con procedimientos para la supresión y revocación de los datos personales de los consumidores financieros
3. Estándares Tecnológicos y de Seguridad
- Las entidades vigiladas deben implementar políticas, procedimientos y recursos para garantizar la seguridad en el tratamiento de datos personales, por medio de los cuales deberá :Acreditar la separación lógica en temas de redes de datos de los sistemas involucrados en el ecosistemaMonitorear la información que será expuestaGestionar logs de auditoría, asociados a las transacciones de información realizadas en el ecosistema por un término de 5 años por cada una de las solicitudes. Los registros en los logs deberán contar con el origen desde el cual se hizo la solicitud (entidad vigilada o tercero receptor de datos), fecha y hora de la solicitud, usuario ejecutante de la solicitud, información a ser transferida y estado del proceso. Se debe considerar que existirán datos que tendrán que ser cifrados o enmascarados.
- Se establecen estándares de arquitectura y seguridad, como el uso de protocolos de intercambio automático de información basados en JSON, cumplir con el marco de REST; garantizando una implementación RESTful, para esto enlazado con el estándar ISO 20022, siento relevante analizar cuales son las APIs desplegadas actualmente con estándar ISO 20022
- Es importante reflexionar que no es claro sí la evolución del sistema de mensajería deberá cumplir con el proceso de desarrollo de recursos API ISO 20022 o esté se tomará de referencia; debido a las implicaciones de ingresar en un proceso de desarrollo global, gestionado por tiempos y pasos pre establecidos. Sin embargo sí este es tomado de referencia también se hace necesario realizar una adaptación del proceso, entendiendo la evolución del estándar ISO 20022, para respaldar su compatibilidad y evolución.
- En temas de seguridad, se busca cumplir con el estándar FAPI 2.0, que proporciona esquemas de datos JSON, recomendaciones y protocolos de seguridad y privacidad para permitir que las aplicaciones utilicen los datos almacenados en una cuenta financiera, conceder que las aplicaciones interactúen con una cuenta financiera y se acepte que los usuarios controlen la configuración de seguridad y privacidad, teniendo en cuenta que muchas soluciones financieras buscan acceder a la información del cliente, sin que este no esté presente (previamente con su autorización):* Conceder que las aplicaciones utilicen los datos almacenados en la cuenta financiera,* Autorizar que las aplicaciones interactúen con la cuenta financiera, y* Permitir a los usuarios controlar la configuración de seguridad y privacidad.* Utilizar un modelo REST/JSON protegido por OAuth.
- La recopilación y el intercambio de información puede aumentar el riesgo de brechas de seguridad y el uso indebido de datos personales. Por lo tanto, es crucial implementar medidas de protección de datos robustas y comprometerse con el cumplimiento de las regulaciones de privacidad.
4. Tratamiento de Datos Personales de los Consumidores Financieros
- Las entidades vigiladas deben obtener la autorización previa, expresa e informada de los consumidores financieros para el tratamiento de sus datos personales en el marco de las finanzas abiertas, cumpliendo con normativas como la Ley 1266 de 2008 (diciembre 31) y la Ley 1581 de 2012 (octubre 17). Este punto conlleva a un reto técnico y funcional interesante; en donde todas las entidades Terceras Receptoras de Información, deben recibir la aprobación expresa por parte del consumidor final respecto al tratamiento de su información, y esta debe ser enviada para ser validada por parte de la entidad Vigilada, visto desde un grupo de transacciones pequeño, la solución es fácilmente gestionable; pero cuando hablamos de despliegues masivos el diseño de la plataforma que permitirá la verificación de las peticiones cambia en profundidad.
- Se establecen procedimientos para que los consumidores financieros puedan consultar, actualizar y revocar su autorización de tratamiento de datos, así como para garantizar la transparencia en el uso de sus datos. Estos procedimientos deben finalizar en implementaciones de autogestión que materialice la normativa en acciones reales que puedan ser ejecutadas por los consumidores financieros, con el fin de respaldar la autonomía del consumidor financiero en la toma de decisiones. Actualmente en el mercado Colombiano se encuentran soluciones como SoyYo que permiten administrar y operar solicitudes por terceros, basados en un esquema de alianzas estratégicas y monetización intrínseca en los casos de negocio.
- La estructuración de los tipos de transacciones y mensajes de cada transacción presenta un reto que deberá ser resuelto con la participación de las partes interesadas con el fin de asegurar la interoperabilidad de mensajes, y no la creación de grupos de mensajes por actores particulares del mercado.
5. Deberes de Revelación de Información
- Las entidades vigiladas deben publicar información actualizada en su página web para que los consumidores financieros conozcan las condiciones de implementación de las finanzas abiertas, incluyendo los procedimientos para consultar, actualizar y revocar autorizaciones (de conformidad con las Leyes 1266 de 2008 (diciembre 31) y 1581 de 2012 (octubre 17) respectivamente) así como la información de contacto de los terceros receptores de los datos.
- Se requiere que las entidades realicen programas de educación financiera para informar a los consumidores sobre sus derechos y responsabilidades en el tratamiento de datos personales en el contexto de las finanzas abiertas.
Mecanismos de monetización
En cuanto a los mecanismos de monetización, las finanzas abiertas ofrecen oportunidades para generar ingresos a través de la prestación de servicios basados en el intercambio de datos financieros.
Las entidades vigiladas pueden cobrar tarifas por el acceso a datos de consumidores financieros, ofrecer servicios de valor agregado a partir de la información compartida o establecer acuerdos comerciales con terceros receptores de datos. Sin embargo será un punto que tendrá que ser discutido, para establecer las tarifas relacionadas con el intercambio de la información y sí el consumidor financiero recibirá algún tipo de beneficio o no al autorizar compartir su información.
Además, al mejorar la experiencia del usuario y fomentar la innovación en el sector financiero, las finanzas abiertas pueden contribuir al crecimiento y la competitividad de las entidades participantes, lo que a su vez puede traducirse en mayores oportunidades de monetización. Algunas de las estrategias y aspectos importantes a considerar son:
1. Servicios Basados en Datos Financieros:
- Las entidades vigiladas pueden desarrollar y ofrecer servicios basados en los datos financieros de los consumidores, como análisis de riesgo crediticio, gestión de patrimonio y recomendaciones personalizadas de productos financieros.
- Estos servicios pueden ser monetizados a través de suscripciones, tarifas de acceso o comisiones por transacción, lo que le permite a las entidades diversificar sus fuentes de ingresos y agregar valor a sus clientes.
2. Colaboración con Terceros:
- Las entidades vigiladas pueden establecer asociaciones estratégicas con terceros receptores de datos, como empresas de tecnología fintech o proveedores de servicios financieros no tradicionales, para desarrollar conjuntamente soluciones innovadoras basadas en datos. Estas colaboraciones pueden generar ingresos a través de acuerdos comerciales, participación en beneficios o tarifas de licencia por el uso de la tecnología y los datos compartidos.
3. Publicidad y Marketing Dirigido:
- Con acceso a datos financieros más detallados y precisos, las entidades vigiladas y los terceros receptores de datos pueden ofrecer servicios de publicidad y marketing dirigidos, personalizando las ofertas y promociones según el perfil y comportamiento financiero de los consumidores, no acotados necesariamente a un entorno financiero sino a un entorno de consumo, como bienes y servicios de otras industrias.
- Este modelo de monetización puede generar ingresos a través de acuerdos de publicidad, patrocinios o comisiones por ventas generadas a través de campañas dirigidas.
4. Innovación y Desarrollo de Productos:
- Las finanzas abiertas fomentan la innovación y el desarrollo de nuevos productos y servicios financieros que se adapten mejor a las necesidades y preferencias de los consumidores.
- Las entidades vigiladas pueden monetizar la innovación mediante el lanzamiento de productos diferenciados y premium, así como mediante la obtención de patentes y derechos de propiedad intelectual sobre soluciones tecnológicas innovadoras.
- La cooperación entre actores vigilados y no vigilados también puede contribuir a la expansión de la inclusión financiera en Colombia. Las fintech y las empresas de tecnología suelen tener un enfoque más ágil y centrado en el usuario, lo que les permite llegar a segmentos de la población que tradicionalmente han estado marginados del sistema financiero. Al trabajar en conjunto con instituciones financieras establecidas, estas empresas pueden ampliar el acceso a servicios financieros y promover la inclusión económica en el país.
6. Cumplimiento Normativo y Consultoría:
- Las entidades vigiladas pueden ofrecer servicios de consultoría y asesoramiento a los terceros receptores de datos para garantizar el cumplimiento de las regulaciones y estándares en materia de seguridad y protección de datos.
- Estos servicios pueden ser monetizados a través de tarifas por consultoría, auditorías de cumplimiento y capacitación en temas de regulación y seguridad.
En resumen, las finanzas abiertas ofrecen un amplio abanico de oportunidades de negocio y monetización tanto para las entidades vigiladas como para los terceros receptores de datos. Al adoptar una estrategia integral que combine la innovación tecnológica, la colaboración estratégica y el cumplimiento normativo, las entidades pueden aprovechar al máximo el potencial de las finanzas abiertas y generar valor tanto para sus clientes como para sus accionistas.
Análisis al Capítulo X en el Título I de la Parte I de la Circular Básica Jurídica “Comercialización de Tecnología e Infraestructura a Terceros”
En el Capítulo X, se establecen las reglas para la comercialización de tecnología e infraestructura a terceros por parte de las entidades vigiladas. Aquí, se detallan los aspectos más importantes y los mecanismos de monetización relevantes:
- Este capítulo se aplica a las entidades vigiladas por la Superintendencia Financiera de Colombia que comercializan tecnología e infraestructura a terceros y entidades vigiladas, las cuales deben cumplir con las instrucciones establecidas en este capítulo.
2. Reglas para la Comercialización de Tecnología e Infraestructura a Terceros:
- La tecnología e infraestructura que se comercializa debe corresponder a la utilizada por la entidad vigilada para ofrecer sus servicios, independientemente de si fue desarrollada internamente o por terceros.
- La junta directiva u órgano equivalente de las entidades vigiladas que realizan esta actividad, debe definir políticas y gestionar los riesgos asociados; este aspecto genera un reto para el ofrecimiento de un servicio de tecnología e infraestructura que no hace parte del CORE de negocios de una entidad financiera vigilada, creando escenarios de negocio que anteriormente no eran contemplados.
- Al contemplar nuevos escenarios de negocio, es necesario analizar nuevas garantías, por lo tanto se deben establecer salvaguardas, como seguros, para cubrir el riesgo de incumplimiento de las obligaciones contractuales.
- Es importante administrar el riesgo reputacional vinculado al uso del nombre o imagen de la entidad vigilada por parte de quienes adquieran o utilicen la tecnología o infraestructura. En este aspecto existen ejercicios similares que ya se han realizado con éxito en otros países de la región Brasil, Chile, México, donde empresas Financieras Vigiladas por sus respectivos organismos gubernamentales, crearon unidades de negocio dependientes o independientes de la matriz para ofrecer servicios de tecnología, infraestructura y operaciones al mercado en general.
- Se deberán implementar controles de calidad sobre la tecnología e infraestructura objeto de comercialización con el fin de garantizar su adecuado funcionamiento.
3. Documentación y Transparencia:
- Las entidades vigiladas tendrán que documentar adecuadamente todos los aspectos relacionados con la comercialización de tecnología e infraestructura, incluidos los términos y condiciones de los contratos, las políticas de gestión de riesgos y cualquier otro documento importante. Esta documentación debe estar disponible para su revisión por parte de la Superintendencia Financiera de Colombia, lo que garantiza la transparencia y el cumplimiento normativo.
4. Evaluación de Riesgos:
- Antes de proceder con la comercialización de tecnología e infraestructura, las entidades vigiladas deberán realizar una evaluación exhaustiva de los riesgos asociados. Esto incluye: la identificación de posibles vulnerabilidades en la tecnología, la evaluación de la estabilidad de la infraestructura y tener en consideración los riesgos financieros y reputacionales.
- Antes de firmar contratos, se deben calcular previamente los riesgos relacionados con la comercialización de tecnología e infraestructura; relacionados con su capacidad CORE de servicios financieros y la potencial afectación de sus clientes finales.
- Establecer salvaguardas y garantías adecuadas es crucial para mitigar el riesgo de incumplimiento de las obligaciones contractuales. Esto puede incluir la contratación de seguros específicos o la creación de fondos de reserva destinados a cubrir posibles contingencias.
4.1. Gestión del Riesgo Reputacional:
- La reputación de una entidad vigilada puede verse afectada por el uso de su nombre o imagen en la comercialización de tecnología e infraestructura. Por lo tanto, es esencial administrar cuidadosamente este riesgo y asegurar que los productos y servicios comercializados cumplan con los más altos estándares de calidad y seguridad.
4.2. Gestión del Riesgo Sistémico:
- En el caso de que la tecnología o infraestructura comercializada sea utilizada por otras entidades vigiladas, es necesario administrar el riesgo sistémico asociado a posibles fallos en dicha tecnología. Esto puede implicar la implementación de medidas de contingencia y la colaboración estrecha con otras instituciones financieras para certificar la estabilidad del sistema en su conjunto.
Mecanismos de Monetización:
- Además de los mecanismos de monetización mencionados anteriormente, las entidades vigiladas pueden explorar otras oportunidades de generación de ingresos, como la prestación de servicios de asesoramiento estratégico o la participación en proyectos de innovación tecnológica en colaboración con otras entidades del sector financiero.
- Las entidades vigiladas pueden monetizar la comercialización de tecnología e infraestructura mediante la venta de licencias, suscripciones, mantenimiento o soporte técnico asociado a dicha tecnología.
- Además, pueden ofrecer servicios de consultoría o capacitación relacionados con la implementación y uso de la tecnología comercializada.
- El establecimiento de tarifas por servicios adicionales, como personalización, integración con sistemas existentes o actualizaciones periódicas, también puede ser un mecanismo de monetización relevante.
- En resumen, la comercialización de tecnología e infraestructura a terceros por parte de las entidades vigiladas ofrece oportunidades significativas de negocio, pero también conlleva riesgos importantes que deben gestionarse de manera efectiva. Al adoptar un enfoque proactivo para evaluar y mitigar los riesgos, y al comprometerse con la transparencia y la calidad en todas las etapas del proceso, las entidades vigiladas pueden maximizar el valor de esta actividad y contribuir al desarrollo sostenible del sector financiero en Colombia.
Podemos concluir que la comercialización de tecnología e infraestructura a terceros por parte de las entidades vigiladas representa una oportunidad de negocio importante. Sin embargo, es fundamental gestionar adecuadamente los riesgos asociados y respaldar la calidad de los productos y servicios ofrecidos para mantener la confianza de los clientes y cumplir con las regulaciones establecidas por la Superintendencia Financiera de Colombia.
Responsabilidades de los Actores No Vigilados
Cumplimiento de Normativas de Seguridad
Aunque los actores no vigilados no están sujetos a la supervisión directa de la Superintendencia Financiera, siguen siendo responsables de cumplir con las regulaciones de seguridad y protección de datos establecidas en la Circular Externa 004 de 2020 (19 de marzo) y otras normativas relacionadas. Esto implica, la implementación de medidas adecuadas de ciberseguridad, cifrado de datos y gestión de riesgos para proteger la información confidencial de los clientes y garantizar la integridad de las transacciones financieras.
Transparencia y Ética en la Operación
Además, los actores no vigilados deben operar de manera transparente y ética, asegurando la claridad en sus políticas y prácticas comerciales. Esto incluye proporcionar información clara y completa sobre los productos y servicios ofrecidos, así como garantizar la equidad y la no discriminación en sus operaciones. El cumplimiento de estándares éticos y de conducta contribuye a fortalecer la confianza del público en el uso de servicios financieros digitales y promueve la sostenibilidad a largo plazo del sector.
Participación en la Protección al Consumidor
Por último, los actores no vigilados también representan un papel importante en la protección al consumidor y la resolución de conflictos. Deben establecer mecanismos efectivos de atención al cliente y procesos de reclamación transparentes para abordar las preocupaciones y quejas de los usuarios. Al priorizar la satisfacción del cliente y responder de manera rápida y eficiente a sus necesidades, los actores no vigilados pueden construir relaciones sólidas con su base de usuarios y promover la lealtad a la marca a largo plazo.
En conclusión, la Circular Externa 004 de 2020 (19 de marzo) y las normativas financieras relacionadas establecen un marco regulatorio sólido para la transformación digital y la banca digital en Colombia. Si bien presentan oportunidades significativas para la colaboración y la innovación en el sector financiero, también plantean desafíos en términos de seguridad de datos y protección al consumidor.
Conclusiones
- Es fundamental garantizar que los consumidores financieros estén plenamente informados y den su consentimiento previo, expreso e informado para el tratamiento de sus datos personales en el marco de las finanzas abiertas. Además, se deben establecer mecanismos transparentes para que los consumidores puedan consultar, actualizar y revocar su autorización de manera sencilla y eficiente.
- Y con se hace fundamental la promoción de programas de educación financiera para que los consumidores comprendan sus derechos y responsabilidades en el contexto de las finanzas abiertas, lo cual les permitirá tomar decisiones informadas y proteger sus intereses en un entorno digital cada vez más complejo.
Bancos y Terceros Receptores de Información:
- Tanto las entidades vigiladas como los terceros receptores de datos deben implementar medidas robustas de gestión de riesgos para mitigar posibles amenazas a la seguridad de la información y proteger la integridad del sistema financiero en su conjunto. Esto incluye identificar y abordar vulnerabilidades en la tecnología, establecer salvaguardas adecuadas y garantizar la transparencia en todas las operaciones.
- La colaboración y cooperación estrecha entre entidades vigiladas y terceros receptores de datos puede fomentar la innovación y el desarrollo de soluciones tecnológicas avanzadas que beneficien a los consumidores financieros. Sin embargo, esta colaboración debe basarse en principios de confianza mutua, transparencia y cumplimiento normativo para garantizar el éxito a largo plazo de las relaciones comerciales.
Normatividad y Jurisprudencia:
- En cuanto al cumplimiento normativo, las entidades vigiladas y los terceros receptores de datos deben dar estricto cumplimiento a las regulaciones establecidas por la Superintendencia Financiera de Colombia y otras normativas relacionadas. Esto incluye proteger la seguridad de los datos, la transparencia en las operaciones y el respeto por los derechos del consumidor financiero.
- Dado el rápido avance de la tecnología y la evolución del panorama financiero, es necesario que las regulaciones se actualicen periódicamente para abordar nuevos desafíos y oportunidades. La adaptación ágil y proactiva a los cambios en el entorno normativo es crucial para garantizar la eficacia y la relevancia de las regulaciones financieras.
Deducimos entonces que la transformación digital y la banca digital en Colombia representan una oportunidad emocionante para el crecimiento y la innovación en el sector financiero. Sin embargo, para aprovechar al máximo estas oportunidades, es decisivo e importante abordar los desafíos relacionados con la protección de los consumidores, el cumplimiento normativo y la gestión de riesgos de manera integral y colaborativa. Al trabajar juntos hacia estos objetivos comunes, todas las partes involucradas pueden contribuir a un sistema financiero más seguro, inclusivo y eficiente en beneficio de la sociedad en su conjunto.
José Francisco Ñáñez Gómez
