Los bancos, cooperativas, mutuales y financieras fiscalizadas por la Superintendencia General de Entidades Financieras (Sugef) serán las encargadas de definir sus propios umbrales para reintegrar a clientes los montos sustraídos mediante estafas electrónicas sin necesidad de realizar una investigación detallada.
Así lo establece la Ley 10.889 de protección a las personas consumidoras en la custodia de su dinero y la propuesta de Reglamento sobre aspectos mínimos de control para prevenir y mitigar estafas informáticas en perjuicio de los usuarios financieros, elaborado por Sugef.
La propuesta reglamentaria, puesta en consulta pública en este mes de junio, precisa que las entidades deberán establecer en sus políticas internas los criterios y umbrales para determinar en qué casos devolverán el monto sustraído al usuario sin necesidad de realizar una investigación detallada.
La posibilidad de que existan umbrales distintos para cada entidad responde a que así lo estableció la Ley 10.889, la cual dejó esa definición en manos de las entidades financieras mediante sus políticas internas, según explicó la Sugef.
El procedimiento expedito aplicará cuando el monto reclamado por el cliente sea inferior al umbral previamente definido por la entidad financiera, con base en un análisis de costo-beneficio.
La ley de protección ante estafas electrónicas, aprobada en marzo, establece como regla general la responsabilidad objetiva de las entidades financieras por la sustracción de fondos a sus clientes, con excepciones limitadas.
Norma deja decisión en manos de entidades
La Sugef explicó por escrito que la posibilidad de que existan umbrales distintos −y no uno uniforme para todo el sistema− deriva directamente de la nueva legislación, la cual dejó esa definición en manos de cada entidad financiera mediante sus políticas internas y con base en un análisis de costo-beneficio.
“La Sugef no puede sustituir esa decisión legislativa estableciendo un monto único para el sistema”, comentó la entidad a La Nación. Enfatizó que la responsabilidad de definir los criterios internos corresponde a cada institución.
El artículo 13 de la Ley 10.889 faculta a las entidades a establecer, en sus políticas internas y conforme a la normativa de la Sugef, los criterios que les permitan reconocer al cliente la suma sustraída independientemente del análisis del caso.
La Superintendencia recalcó que dicha disposición obedece a que las entidades no son iguales, pues tienen distinto tamaño, volumen de operaciones, perfil de clientes, exposición al fraude y capacidad operativa.
“Es por ello que la ley reconoce que un umbral único para todo el sistema podría no reflejar adecuadamente las características particulares de cada intermediario financiero”, comentó el órgano supervisor.
Al respecto, la Cámara de Bancos e Instituciones Financieras consideró que, aunque un umbral único para todo el sistema financiero podría parecer más simple, no necesariamente sería el más efectivo.
“Las entidades financieras operan bajo distintas realidades en términos de riesgo, clientes y capacidades tecnológicas, por lo que aplicar una misma regla para todos podría generar distorsiones o soluciones poco ajustadas a la práctica”, señaló la organización.
Nuevos elementos
Raúl Rivera, asesor de la Asociación Bancaria Costarricense (ABC), explicó que la propuesta de reglamento puesta en consulta pública está muy enfocada en lo que ya contemplaba el Reglamento sobre la transparencia ante el usuario financiero en la prestación de productos y servicios de la Sugef, vigente desde el 1.º de junio del 2025.
No obstante, añadió que la propuesta reciente incorpora los elementos nuevos introducidos por la ley sobre estafas, con lo cual amplía las responsabilidades de las entidades financieras.
Rivera afirmó que uno de esos nuevos elementos es el requerimiento de que cada entidad defina umbrales para devolver montos sin realizar una investigación detallada ante posibles casos de estafas.
Según el asesor de la ABC, esta disposición permite que cada institución financiera defina, con base en un análisis de costo-beneficio, el nivel de riesgo que está dispuesta a asumir para hacerle frente a estos casos.
Las entidades supervisadas deberán establecer en sus políticas internas, los criterios y umbrales para determinar en qué casos devolverán al usuario financiero el monto sustraído sin necesidad de realizar un análisis detallado, cuando este sea menor al límite previamente establecido por el intermediario, con base en un análisis de costo-beneficio.
— Artículo 11: Devolución de montos bajo umbrales predefinidos, según el Reglamento sobre aspectos mínimos de control para prevenir y mitigar estafas informáticas en perjuicio de los usuarios financieros
Carmen Rojas, fundadora del Movimiento de Gente Estafada en Bancos de Costa Rica, afirmó que actualmente ya existen procesos de clientes que han acudido a hacer reclamos. Aseguró que lo ideal es que se realicen investigaciones serias en cada caso.
“La gente que ha sido estafada está acudiendo con normalidad, según lo que establece la ley (...). Si la Sugef es quien supervisa a las entidades financieras, tienen que garantizar que existan estándares de calidad”, agregó Rojas,
La Superintendencia señaló que la ley establece el procedimiento que las entidades deben seguir frente a los usuarios, es decir, recibir el reclamo, investigarlo, resolverlo y comunicar su decisión.
Por otra parte, indicó que el reglamento se enfoca en determinar la información y la evidencia que las entidades deben remitir a la Sugef cuando rechacen un reclamo. Es decir, busca que la Superintendencia reciba expedientes completos, trazables y con un respaldo técnico para valorar si la denegatoria está debidamente sustentada.
Inversiones significativas
La Cámara de Bancos e Instituciones Financieras manifestó que el reglamento propuesto constituye un paso importante para fortalecer la prevención y atención de los fraudes informáticos, un fenómeno creciente y cada vez más sofisticado que afecta a los usuarios.
“El sector comparte plenamente el objetivo de robustecer la protección de los usuarios y, en esa línea, las entidades han realizado inversiones significativas en ciberseguridad, monitoreo transaccional y mecanismos de alerta en tiempo real”, afirmó la Cámara.
Aseveró que estas capacidades han permitido mejorar de forma sostenida la detección y respuesta ante eventos sensibles. Sin embargo, señaló que es importante reconocer que el nivel de desarrollo e integración tecnológica no es homogéneo en todo el sistema, por lo que la implementación de ciertos estándares específicos requerirá procesos de adaptación graduales y técnicamente viables.
La fundadora del Movimiento de Gente Estafada en Bancos de Costa Rica comentó que en el país no existía un protocolo uniforme con las medidas de seguridad que deben tener los sistemas informáticos de las entidades.
“Una de las cosas que nos interesaba mucho era que los bancos tuvieran la responsabilidad objetiva para que, de esa manera, realmente tomaran medidas para evitar que ese relajo de las estafas continuara”, señaló Carmen Rojas.
Rojas comentó que también es vital que las entidades conozcan cómo manejar las situaciones de emergencia con clientes estafados, como el bloqueo de cuentas y protocolos establecidos para abordar los casos.
Reclamos
La nueva ley no establece que las entidades financieras deban indemnizar automáticamente a las víctimas en todos los casos de fraude. Cuando el cliente comunique los hechos a su entidad, esta tendrá hasta 60 días hábiles para investigar el caso y resolver lo que corresponda.
Los reclamos deberán presentarse mediante un formulario que las entidades supervisadas pondrán a disposición del usuario. Además, la gestión deberá acompañarse de una copia de la denuncia interpuesta ante el Organismo de Investigación Judicial (OIJ).
Las entidades supervisadas deberán investigar los hechos y resolver si el reclamo procede o no. En caso de rechazarlo, tendrán que remitir un informe detallado a la Sugef para que esta valide si la decisión adoptada se encuentra debidamente justificada.