RESOLUCIÓN que modifica las Disposiciones de carácter general aplicables a las instituciones de crédito

Viernes 14 de Junio de 2024

Al margen un sello con el Escudo Nacional, que dice: Estados Unidos Mexicanos.- HACIENDA.- Secretaría de Hacienda y Crédito Público.- Comisión Nacional Bancaria y de Valores.

La Comisión Nacional Bancaria y de Valores con fundamento en los artículos 21, segundo y tercer párrafos; 40, segundo párrafo; 52, antepenúltimo párrafo; 96 Bis, párrafo primero, 98 Bis y 101 Bis de la Ley de Instituciones de Crédito; así como 4 fracciones II, V XXXVI y XXXVIII; 6; 16, fracción I y 19 de la Ley de la Comisión Nacional Bancaria y de Valores y,

CONSIDERANDO

Que, en atención al artículo 78 de la Ley General de Mejora Regulatoria y con la finalidad de reducir el costo de cumplimiento de las presentes disposiciones, la Comisión Nacional Bancaria y de Valores, emitió la Resolución que modifica las Disposiciones de carácter general aplicables a las instituciones de crédito publicada en el Diario Oficial de la Federación el 23 de julio de 2021, mediante la cual se genera un ahorro en reservas, tratándose de créditos personales sobre siete instituciones de banca múltiple; así como la Resolución que modifica las disposiciones de carácter general aplicables a las actividades de las sociedades cooperativas de ahorro y préstamo, publicada en el Diario Oficial de la Federación el 26 de abril de 2018, a través del cual se deroga el artículo 220 generando un beneficio al eliminar la opinión sobre la razonabilidad de la clasificación y valuación de inversiones y transferencias entre categorías;

Que la Comisión Nacional Bancaria y de Valores cuenta con facultades para emitir en el ámbito de su competencia la regulación prudencial a que se sujetarán las instituciones de crédito quedando comprendida la relativa a la materia de control interno; así como las relativas a las funciones mínimas que deberá realizar el comité de auditoría de las instituciones de crédito respecto a la oportunidad y suficiencia de la información que ese órgano colegiado deberá considerar;

Que, con el fin de fortalecer el control interno en materia de fraudes, se busca establecer un esquema jurídico claro que determine las Conductas observables para la gestión del fraude, sus alcances y obligaciones específicas, lo que dará certeza jurídica tanto a las instituciones de crédito, como a la propia Comisión, al contar con un marco regulatorio vigente que robustezca la supervisión en materia de prevención, detección y respuesta oportuna ante la presencia de Conductas observables para la gestión del fraude, a fin de contar con los fundamentos legales que establezcan una obligatoriedad de dar seguimiento a dichas conductas, en beneficio de la estabilidad financiera y de los usuarios de los servicios financieros;

Que la adecuada implementación de un sistema de control interno brindará a las instituciones de crédito mayor seguridad en la celebración de sus operaciones y reducirá los riesgos a que están expuestas, facilitando el registro oportuno de las transacciones y el cumplimiento de la normatividad que les es  aplicable, y

Que resulta conveniente dictar lineamientos mínimos a través de un marco de regulación prudencial, con la finalidad de que las instituciones de crédito cuenten con objetivos y lineamientos en materia de control interno que segreguen funciones, establezcan mecanismos de control de operaciones y prevean programas generales de auditoría interna y externa, entre otros aspectos, ha resuelto emitir la siguiente:

RESOLUCIÓN QUE MODIFICA LAS DISPOSICIONES DE CARÁCTER GENERAL  APLICABLES A LAS INSTITUCIONES DE CRÉDITO

ÚNICO. - Se REFORMAN los artículos 1, fracción CXXXVI; 51 Bis 1, cuarto párrafo; 142, primer párrafo y fracción III, segundo párrafo; 164, primer párrafo, así como tercer párrafo, fracción IV, inciso c); 168 Bis 11, primer y segundo párrafos; 168 Bis 12, fracción VIII; 207, la referencia a la “Serie R27 Reclamaciones Monetarias” y su reporte “A-2701 Reclamaciones Monetarias”; 208, primer párrafo, fracción II, inciso f) y fracción III; 307, primer párrafo, fracción I, inciso e), segundo párrafo; 309, primer párrafo, fracción I, tercer párrafo; 310, primer párrafo, fracción III, cuarto y sexto párrafos; 313, tercer y sexto párrafos; 316 Bis 14, así como el Anexo 36, en su serie R27 “Reclamaciones Monetarias”; y se ADICIONAN a los artículos 1, las fracciones XXXVII Bis, CXV Bis 1, recorriéndose la actual CXV Bis 1 a la CXV Bis 2, CXXXVI Bis,  CXXXVI Bis 1 y CXLVIII Bis; 160, la fracción XV; 164, tercer párrafo, la fracción X; 164 Bis 1; 166, las fracciones VII y VIII; 168 Bis 11, la fracción XVI; 171 Bis 1; 287 Bis; 287 Bis 1; 339, primer párrafo, fracción V y los Anexos 12-E y 12-F de las "Disposiciones de carácter general aplicables a las instituciones de crédito", publicadas en el Diario Oficial de la Federación el 2 de diciembre de 2005 y modificadas mediante diversas resoluciones publicadas en dicho medio de difusión oficial, para quedar como sigue:

RESOLUCIÓN QUE MODIFICA LAS DISPOSICIONES DE CARÁCTER GENERAL  APLICABLES A LAS INSTITUCIONES DE CRÉDITO

“TÍTULOS PRIMERO a QUINTO             . . .

Anexos 1 a 12-D          . . .

Anexo 12-E                    Lineamientos mínimos para el Plan de gestión para la prevención del fraude.

Anexo 12-F                    De la información que las instituciones deberán poner a disposición del Usuario o la Comisión derivado de Reclamaciones Monetarias.

Anexos 13 a 73.    . . .”

“Artículo 1.-           . . .

I. a XXXVII.             . . .

XXXVII Bis.             Conductas observables para la gestión del fraude: En singular o plural, las conductas Internas o Externas que, para efectos del cumplimiento de estas disposiciones, son aquellos comportamientos o conjunto de acciones realizadas por una persona o conjunto de personas en contra del Público Usuario con la finalidad de obtener un lucro indebido para sí o para tercera persona; las cuales comprenden las acciones que se señalan a continuación:

i.        Suplantar o usurpar la identidad del Usuario.

ii.       Robar datos personales e información financiera del Usuario.

iii.      Suplantar la identidad de la propia institución.

iv.      Usar información privilegiada de los Usuarios por empleados de las Instituciones.

v.       Comprometer los Medios Electrónicos empleados por el Usuario con el objetivo de instalar un código malicioso capaz de alterar la realización de Operaciones Monetarias.

vi.      Alterar cheques y emitir cheques falsos.

Para efecto de estas disposiciones y de las gestiones que las Instituciones deben realizar ante la probable presencia de dichas conductas, las Instituciones considerarán que son:

a)      Internas: Cuando las conductas sean realizadas por al menos un empleado, personal que ostente algún cargo, mandato o comisión o cualquier otra designación que las propias Instituciones hayan otorgado para la realización de sus Operaciones, en contra del Público Usuario, cuando las conductas sean contrarias a la normativa de las instituciones.

b)      Externas: Cuando las conductas sean realizadas exclusivamente por parte de uno o varios terceros, distintos a las personas señaladas en el inciso anterior, en contra de sus Usuarios.

XXXVIII. a CXV Bis.            . . .

CXV Bis 1.              Monto Transaccional del Usuario: Monto de referencia de las Operaciones Monetarias realizadas por Usuarios que sean personas físicas a través de los servicios de Banca por Internet, Banca Telefónica Voz a Voz, Banca Telefónica Audio Respuesta y Banca Móvil, definido por dicho Usuario o, en su defecto, estimado por la Institución, utilizado para los fines específicos de las presentes disposiciones.

CXV Bis 2.              NIF C-16: a la Norma de Información Financiera “Deterioro de Instrumentos financieros por cobrar” publicada por el Consejo Mexicano de Normas de Información Financiera, A.C., la cual converge con la Norma Internacional de Información Financiera 9 “Instrumentos financieros” emitida por el Consejo de Normas Internacionales de Contabilidad.

CXVI. a CXXXV.    . . .

CXXXVI.                  Personas en Situación de Vulnerabilidad: Al grupo de personas que declaran de forma libre y voluntaria a las Instituciones, conforme a las presentes disposiciones, pertenecer de manera enunciativa, mas no limitativa, a las personas adultas mayores, personas con discapacidad, personas pertenecientes a alguna etnia, pueblo o comunidad indígena.

CXXXVI Bis.           Plan de gestión para la prevención del fraude: Es el documento que contiene el conjunto de lineamientos, metodologías de análisis y acciones mínimas que establecen la estrategia, procesos operativos y los proyectos de las Instituciones para llevar a cabo la identificación, medición, monitoreo, y atención a las Conductas observables para la gestión del fraude, así como a la prevención, detección, respuesta oportuna y resarcimiento monetario del daño al Público Usuario derivados de estas.

CXXXVI Bis 1.        Plan Director de Seguridad: al documento que establece la estrategia de seguridad de una Institución para procurar una correcta gestión de la seguridad de la información y evitar la materialización de Incidentes de Seguridad de la Información que podrían afectar de forma negativa a la Institución.

CXXXVII. a CXLVIII.     . . .

CXLVIII Bis.            Reclamación Monetaria: En singular o plural, a todas aquellas Operaciones Monetarias no reconocidas por el usuario y que han sido comunicadas a la Institución por cualquier canal o medio puesto a disposición del usuario.

CXLIX. a CXCVII.                  . . .”

“Artículo 51 Bis 1.-     . . .

I. a III.   . . .

. . .

. . .

Las Instituciones podrán no realizar las acciones de verificación descritas en este artículo, cuando pacten con sus clientes en los respectivos contratos de Cuentas Bancarias Nivel 4, así como en contratos de apertura de crédito en cuenta corriente, que aquellas se obligan a asumir los riesgos y, por lo tanto, los costos de las operaciones que no sean reconocidas por sus clientes, obligándose además a que los montos de las Reclamaciones Monetarias de dichas operaciones serán abonadas a estos, a más tardar, cuarenta y ocho horas posteriores a la Reclamación Monetaria que haga el Usuario. Las Instituciones deberán avisar a la Comisión cuando decidan optar por lo previsto en el presente párrafo a más tardar a los diez días hábiles posteriores a dicha determinación, indicando las operaciones a las cuales les será aplicable.”

“Artículo 142.- El Consejo, una vez aprobados los objetivos del Sistema de Control Interno y los lineamientos para su implementación deberá, en el ámbito de su competencia:

I. y II.        . . .

III.              . . .

El código de conducta deberá contener normas acordes con la legislación vigente y demás disposiciones legales aplicables, con las sanas prácticas y usos bancarios. Adicionalmente, deberá incorporar lineamientos que detallen las obligaciones relativas a la confidencialidad de la información de la Institución, otras entidades, o sus usuarios, así como las Conductas observables para la gestión del fraude internas y sus sanciones correspondientes aplicadas por la Institución, especificando que estas últimas son independientes de aquellas impuestas por las autoridades judiciales correspondientes.

. . .

IV. a VII.   . . .

. . .”

“Artículo 160.-      . . .

I. a XIV.    . . .

XV.   Evaluar, al menos una vez cada dos años, y de manera alternada con la auditoría externa de conformidad con el último párrafo del Anexo 12-E de las presentes disposiciones, la efectividad y debilidades del Plan de gestión para la prevención del fraude, estableciendo recomendaciones para su mejora continua, tomando en cuenta los hechos identificados que representaron la comisión del delito de fraude, realizando el seguimiento de las acciones correctivas implementadas por las áreas o funciones responsables de atender dichas recomendaciones. Los hallazgos de cada auditoría formarán parte del anexo de la siguiente entrega del Plan de gestión para la prevención del fraude a la Comisión.

. . .

. . .”

“Artículo 164.- La Dirección General, en el ámbito de las funciones que le correspondan, será la responsable de la debida implementación del Sistema de Control Interno.

. . .

. . .

I. a III.       . . .

IV.             . . .

a) y b)   . . .

c)           Implementar y hacer del conocimiento del Consejo los mecanismos para que las diversas actividades en la Institución se lleven a cabo, únicamente por el personal definido previamente, y, en su caso, autorizado de conformidad con la estructura organizacional de cada Institución referida en el inciso a) de la presente fracción, para lo cual deberán contar con la calidad técnica, la experiencia necesaria y honorabilidad para lo cual deberán efectuar una evaluación, al menos una vez cada tres años, la cual debe estar documentada y disponible en todo momento para la Comisión por al menos cinco años.

d) a i)        . . .

V. a IX.   . . .

X             Aprobar el Plan de gestión para la prevención del fraude. La persona titular de la dirección general deberá informar al Consejo el contenido de dicho plan, y contar con evidencia de su implementación desde su preparación y elaboración.

. . .

. . .”

“Artículo 164 Bis 1.- El Plan de gestión para la prevención del fraude deberá contener los lineamientos, procesos, políticas y criterios para la prevención, detección y respuesta oportuna de las Conductas observables para la gestión del fraude. Asimismo, por cada proyecto que se defina dentro de dicho plan, se deberá señalar al menos: nombre del proyecto, objetivo y estrategias definidas para lograrlo, alcance, fechas de inicio y conclusión, plazos y periodicidad para su ejecución, áreas involucradas y una especificación detallada de las responsabilidades de cada área involucrada en cada proyecto definido, inversión proyectada, el detalle de las acciones y actividades realizadas y por realizar, los recursos técnicos, materiales y humanos empleados; verificando que en la elaboración del plan al que se refiere este artículo se dé cumplimiento a los lineamientos mínimos descritos en el Anexo 12-E de las presentes disposiciones.

La persona titular de la dirección general podrá designar en algún funcionario de los dos niveles jerárquicos inferiores a éste, y que no pertenezcan al área de negocios o auditoria, o bien al área responsable de prevención de fraudes, la facultad de elaborar el Plan de gestión para la prevención del fraude, documentando dicha designación. El Plan de gestión para la prevención del fraude se ejecutará por una estructura administrativa específica.

El acta o la certificación emitida por el secretario o prosecretario en los que conste la presentación del Plan de gestión para la prevención del fraude al Consejo, para su conocimiento, deberá incluirse como anexo del documento que se envíe a la Comisión. Una vez hecho del conocimiento el Plan de gestión para la prevención del fraude al Consejo, la Institución deberá remitirlo a la vicepresidencia de la Comisión encargada de su supervisión, a más tardar, el último día hábil de enero de cada año. La Comisión podrá solicitar ajustes al Plan de gestión para la prevención del fraude derivado de la revisión referida en el presente párrafo. Sin perjuicio de lo anterior, las Instituciones deberán ejecutar el plan desde su aprobación por el titular de la dirección general.

Las Instituciones deberán contar con evidencia documentada de la implementación de cada proyecto que conforma el Plan de gestión para la prevención del fraude, la cual debe ser conservada y estar disponible para la Comisión por un periodo de al menos cinco años.”

“Artículo 166.-      . . .

I. a VI.    . . .

VII.      Permitan verificar y revisar que los aspectos básicos de dictaminación de Reclamaciones Monetarias, y alertamiento por posibles eventos de Conductas observables para la gestión del fraude, se realicen con un nivel mínimo de calidad, lo que será determinado en los manuales, políticas y procedimientos internos de la Institución, por parte de las áreas responsables involucradas en cada proceso de dictaminación, así como dar cumplimiento a lo que se establece en dicha materia en los Anexos 12-E y 12-F de las presentes disposiciones.

VIII.    Permitan dar seguimiento y propiciar el cumplimiento de los proyectos contenidos en el Plan de gestión para la prevención del fraude, debiendo contar con evidencia documentada la cual debe ser conservada y estar disponible para la Comisión por un periodo de al menos cinco años.

. . .”

“Artículo 168 Bis 11.- La persona titular de la Dirección General de la Institución será responsable de la implementación del Sistema de Control Interno en materia de seguridad de la información que procure su confidencialidad, integridad y disponibilidad. El marco de gestión a que se refiere este artículo deberá asegurar que la Infraestructura Tecnológica, propia o provista por terceros, se apegue a los requerimientos siguientes:

I. a XV.   . . .

XVI.    Definir en los respectivos manuales de políticas y procedimientos, los roles y responsabilidades del personal de la Infraestructura Tecnológica en materia de seguridad de la información de la Institución.

El director general será responsable de documentar en políticas y procedimientos lo previsto en este artículo.

Artículo 168 Bis 12.- . . .

I. a VII.     . . .

VIII.           Implementar y evaluar mediante auditoría interna, los programas anuales de capacitación a los que se refiere el Artículo 69, fracción V de estas disposiciones, así como los de concientización en materia de seguridad de la información, dirigidos a todo el personal y al Usuario incluyendo, en su caso, a terceros que le presten servicios relacionados con los medios a través de los cuales se pueden cometer Conductas observables para la gestión del fraude, en los que se contemplen, entre otros aspectos, los roles y responsabilidades que los Usuarios de la Infraestructura Tecnológica tengan al respecto.

IX. y X.     . . .”

“Artículo 171 Bis 1.- Las Instituciones deberán contar con procesos que evalúen la efectividad de la resolución de Reclamaciones Monetarias. Asimismo, deberán garantizar la transparencia en dichos procesos para lo cual deberán ajustarse a lo señalado en el Anexo 12-F de las presentes disposiciones.”

“Artículo 207.-    . . .

Serie R01 Catálogo mínimo a Serie R26 Información por comisionistas . . .

Serie R27 Reclamaciones Monetarias

A-2701 Reclamaciones Monetarias

Serie R28 Información de Riesgo Operacional a Serie R36 . . .

. . .

. . .”

“Artículo 208.-    . . .

I.       . . .

II.      . . .

a) a e)    . . .

f)             La información relativa a la serie R16, exclusivamente por lo que se refiere a los reportes A-1611 y A-1612, la serie R24, únicamente los reportes B-2421, B-2422, C-2431, D-2441 y D-2442, así como la correspondiente a la serie R26, R27 y R35 por lo que se refiere al reporte A-3511, deberá enviarse a más tardar el último día del mes inmediato siguiente al de su fecha.

g) y h)     . . .

III.      Trimestralmente, la información de las series R14, R15, y R32 deberá enviarse dentro del mes inmediato siguiente al de su fecha.

. . .

. . .

IV.     . . .

. . .”

“Artículo 287 Bis.- El Monto Transaccional del Usuario podrá ser definido por el Usuario en la celebración del contrato para apertura de cualquier cuenta, producto o servicio del que se trate o en cualquier momento a través del servicio de Banca Electrónica posterior a la contratación de apertura de cuenta, producto o servicio. La Institución deberá proveer lo necesario para que sus Usuarios establezcan el Monto Transaccional del Usuario, empleando cualquier Factor de Autenticación determinado por la Institución, si se realiza en Medios Electrónicos o mediante firma en Oficinas Bancarias, previa identificación del cliente.

En el caso de que el Usuario no establezca su Monto Transaccional del Usuario para los servicios del párrafo anterior, este deberá ser estimado por la Institución de conformidad con el historial de Operaciones Monetarias del Usuario o bien, considerando los perfiles de transacción de otros Usuarios con características similares a las de dicho Usuario, en un plazo no mayor a seis meses a partir de la celebración del contrato referido. Una vez determinado el Monto Transaccional del Usuario, deberá ser enviado al Usuario para su conocimiento a través de un medio que permita comprobar su recepción, y surtirá sus efectos al día siguiente de su notificación. La metodología y procedimiento para su determinación deberá estar documentado en el Plan de gestión para la prevención del fraude.

Las Instituciones deberán permitir a sus Usuarios modificar el Monto Transaccional del Usuario mediante Medios Electrónicos de manera no presencial o mediante firma en Oficinas Bancarias. Cuando la modificación se realice mediante Medios Electrónicos de manera no presencial, dicha modificación requerirá al menos dos Factores de Autenticación de los referidos en el artículo 310 de las presentes disposiciones, los cuales deberán ser de categoría distinta. Una vez modificado el Monto Transaccional del Usuario, surtirá sus efectos una vez que la Institución envíe un alertamiento al Usuario de la modificación señalada en el presente párrafo a través de mensajería instantánea con protocolos de Cifrado, vía telefónica o correo electrónico, y este último confirme la acción referida.

Las Instituciones podrán utilizar el Monto Transaccional del Usuario como insumo para la detección y prevención de eventos que se aparten de los parámetros de uso habitual de sus Usuarios a través de Medios Electrónicos a los que se refiere el Artículo 316 Bis 13 de las presentes disposiciones.

Lo establecido en el presente artículo no será aplicable a las Cuentas Bancarias de Nivel 1, ni a sus servicios, créditos y tarjetas de débito o crédito asociadas a dichas cuentas.

Artículo 287 Bis 1.- Cuando el monto de una Operación Monetaria realizada a través de los servicios de Banca por Internet, Banca Telefónica Voz a Voz, Banca Telefónica Audio Respuesta y Banca Móvil sea mayor al Monto Transaccional del Usuario, las Instituciones deberán requerir un Factor de Autenticación adicional a los establecidos en las presentes disposiciones para la Operación Monetaria de que se trate, de los referidos en el Artículo 310 de las presentes disposiciones, solicitado a través de mensajería instantánea con protocolos de Cifrado, vía telefónica o correo electrónico con protocolos de Cifrado. En el caso que la Operación Monetaria sea realizada a través de servicios distintos a Banca Móvil, el Factor de Autenticación adicional al que se refiere el presente párrafo podrá ser solicitado mediante una confirmación de celebración de la Operación Monetaria a través de los servicios de Banca Móvil, previo a que se ejecute.”

“Artículo 307.- . . .

I.       . . .

a) a d) . . .

e)      . . .

          Asimismo, las Instituciones deberán pactar al momento de la contratación con sus Usuarios que asumirán los riesgos y por lo tanto los costos de las operaciones realizadas a través de los servicios antes mencionados que no sean reconocidas por los propios Usuarios, y que las Reclamaciones Monetarias derivadas de estas operaciones deberán ser abonadas a los Usuarios o bien, tratándose del otorgamiento de créditos que los recursos serán retirados de la cuenta del Usuario sin cobro de comisión alguna, a más tardar cuarenta y ocho horas posteriores a la reclamación, excepto cuando el Usuario hubiese confirmado dicha contratación en los términos descritos.

II. a VI.   . . .”

“Artículo 309.- . . .

I.          . . .

            . . .

            Asimismo, las Instituciones que obtengan la autorización a que se refiere el párrafo anterior, deberán prever, al momento de la contratación con sus Usuarios, que las propias Instituciones asumirán los riesgos y por lo tanto los costos de las operaciones realizadas a través de Pago Móvil que no cumplan con lo previsto en el primer párrafo de la presente fracción y que no sean reconocidas por los Usuarios. Las Reclamaciones Monetarias derivadas de estas operaciones deberán ser abonadas a los Usuarios a más tardar cuarenta y ocho horas posteriores a la Reclamación Monetaria.

            . . .

II.        . . .”

“Artículo 310.- . . .

I. y II.  . . .

III.       . . .

. . .

. . .

Las Instituciones que aprueben la celebración de operaciones mediante el uso de tarjetas bancarias sin circuito integrado, en Cajeros Automáticos y Terminales Punto de Venta, deberán pactar con sus Usuarios que asumirán los riesgos y por lo tanto los costos de las operaciones que no sean reconocidas por los Usuarios en el uso de dichas tarjetas. Las Reclamaciones Monetarias derivadas de estas operaciones deberán ser abonadas a los Usuarios a más tardar cuarenta y ocho horas posteriores a la Reclamación Monetaria.

. . .

. . .

Las Instituciones que obtengan la autorización a que se refiere el párrafo anterior, deberán pactar con sus Usuarios que asumirán los riesgos y por lo tanto los costos de las operaciones no reconocidas por aquellos realizadas a través del servicio de Banca Electrónica de que se trate. Las Reclamaciones Monetarias derivadas de estas operaciones deberán ser abonadas a los Usuarios a más tardar cuarenta y ocho horas posteriores a la Reclamación Monetaria.

IV.       . . .”

“Artículo 313.-    . . .

. . .

Tratándose de Operaciones Monetarias consideradas como Micro Pagos, cuyo Dispositivo de Acceso sea un Teléfono Móvil o una Terminal Punto de Venta, podrán ser realizadas sin que las Instituciones soliciten Factores de Autenticación. Las Instituciones deberán pactar, al momento de la contratación con sus Usuarios, que las propias Instituciones asumirán los riesgos y por lo tanto los costos de las operaciones que no sean reconocidas por los Usuarios en dichos casos. Las Reclamaciones Monetarias derivadas de estas operaciones deberán ser abonadas a los Usuarios a más tardar cuarenta y ocho horas posteriores a la Reclamación Monetaria.

. . .

. . .

Las Instituciones que obtengan la autorización a que se refiere el párrafo anterior, deberán pactar con sus Usuarios, que las propias Instituciones asumirán los riesgos y por lo tanto los costos de las operaciones no reconocidas por los Usuarios en dichos casos. Las Reclamaciones Monetarias derivadas de estas operaciones deberán ser abonadas a los Usuarios a más tardar cuarenta y ocho horas posteriores a la Reclamación Monetaria.”

“Artículo 316 Bis 14.- Las Instituciones deberán mantener por un plazo de al menos 5 años, en sus bases de datos todas las operaciones efectuadas a través del servicio de Banca Electrónica que no sean reconocidas por sus Usuarios y que, al menos, incluya la información relacionada con estas operaciones y la relativa al trámite que, en su caso, haya promovido el Usuario, tal como, la información establecida en el reporte regulatorio R27 A-2701 Reclamaciones Monetarias.”

“Artículo 339.-    . . .

I. a IV.    . . .

V.      Las relativas para procurar las condiciones de privacidad de los retiros y otras transacciones que el Público Usuario realice en ventanillas, respecto de aquellos que se encuentran en la sala de espera de las Sucursales y Módulos Bancarios.”

TRANSITORIOS

PRIMERO.- La presente Resolución entrará en vigor el día siguiente al de su publicación en el Diario Oficial de la Federación, contando con los plazos establecidos en los siguientes transitorios para el cumplimiento de las obligaciones contenidas en esta.

SEGUNDO.- Las instituciones de banca múltiple, contarán:

I.       Con 180 días naturales contados a partir de la entrada en vigor, para enviar a la Comisión por única ocasión en una fecha distinta a la establecida en el artículo 164 Bis 1, la primera entrega del Plan de gestión para la prevención del fraude.

II.      Hasta el primer día del décimo mes subsecuente a la entrada en vigor, para implementar lo establecido en el Plan de gestión para la prevención del fraude entregado a la Comisión de conformidad con el artículo transitorio primero anterior, así como, para ajustarse a lo establecido en la presente Resolución.

III.     Hasta el primer día del decimosexto mes subsecuente a la entrada en vigor, para que se determine el Monto Transaccional del Usuario, ya sea por la Institución o por el propio Usuario, cuando no se haya establecido para las cuentas, productos o servicios vigentes a la entrada en vigor de la presente resolución.

TERCERO.- Las instituciones de banca de desarrollo, contarán:

I.       Hasta el 30 de septiembre de 2025, para enviar a la Comisión por única ocasión en una fecha distinta a la establecida en el artículo 164 Bis 1, la primera entrega del Plan de gestión para la prevención del fraude.

II.      Hasta el 2 de enero de 2026, para implementar lo establecido en el Plan de gestión para la prevención del fraude entregado a la Comisión el 30 de septiembre de 2025, así como, para ajustarse a lo establecido en la presente Resolución.

III.     Hasta el 2 de julio de 2026, para que se determine el Monto Transaccional del Usuario, ya sea por la Institución o por el propio Usuario, cuando no se haya establecido para las cuentas, productos o servicios vigentes al 2 de enero de 2026.

CUARTO.- A partir del 2 de enero de 2026, las Instituciones estarán obligadas a incluir la evaluación referida en el artículo 160 fracción XV y en el último párrafo del Anexo 12-E, así como los eventos del delito de fraude concluidos y analizados, y los indicadores referidos en el inciso d) y e) de la fracción III, e inciso d), fracción II del Anexo 12-E de la presente Resolución Modificatoria.

QUINTO.- Las instituciones deberán enviar a la Comisión el código de conducta que resulte de las modificaciones previstas en el artículo 142 fracción III, a más tardar al 1 de octubre de 2025 para las instituciones de banca múltiple y al 1 de julio de 2026 para las instituciones de banca de desarrollo.

Atentamente

Ciudad de México, a 10 de junio de 2024.- Presidente de la Comisión Nacional Bancaria y de Valores,  Dr. Jesús de la Fuente Rodríguez.- Rúbrica.

“Anexo 12-E

Lineamientos mínimos del Plan de gestión para la prevención del fraude

El Plan de Gestión de Fraude debe considerar los elementos mínimos siguientes: contar con mecanismos de identificación, medición, prevención, control y respuesta de posibles eventos por Conductas observables para la gestión del fraude, esquemas de reporte que consideren aspectos cuantitativos y cualitativos, así como la ejecución de revisiones y auditorías periódicas para reajustar oportunamente, en su caso, los parámetros de los modelos, mecanismos y procesos de vigilancia, bajo los siguientes principios.

●      Gobierno corporativo: Se debe establecer un gobierno corporativo que muestre los principios para la gestión de las Conductas observables para la gestión del fraude y las expectativas del Consejo y la Dirección General, respecto a su compromiso con valores éticos para la atención de Conductas observables para la gestión del fraude, el cual debe documentarse en las políticas institucionales del área de prevención de fraudes. Asimismo, deben establecerse los incentivos de conformidad a lo establecido en la Sección Octava, Capítulo VI del Título Segundo de las presentes Disposiciones, así como los requisitos para que los funcionarios y empleados alcancen las metas y el buen desempeño en la atención de Conductas observables para la gestión del fraude, así como vigilar y documentar el cumplimiento de dichas metas.

●      Medición y monitoreo de las Conductas observables para la gestión del fraude: La Dirección General de la Institución debe garantizar que se realicen evaluaciones para identificar los esquemas de las Conductas observables para la gestión del fraude, evaluando su probabilidad e importancia y las actividades de control de dichas conductas existentes. Se deben utilizar los resultados de esas evaluaciones para retroalimentar y fortalecer el diseño del sistema de gestión de riesgos de la Institución. Las políticas que se establezcan deben definir y comunicar claramente el compromiso del Consejo y la Dirección General para la atención de las Conductas observables para la gestión del fraude.

●      Colaboración, investigación e intercambio de información: Las Instituciones deben de contar con políticas, procesos de comunicación y de investigaciones internas los cuales deben documentarse en los manuales de políticas y procedimientos de la Institución, así como sistemas de control interno que garanticen un enfoque coordinado para llevar a cabo investigaciones apropiadas, respuestas oportunas, y la atención de las denuncias de sospecha de Conductas observables para la gestión del fraude, así como de aquellas confirmadas. Para efectos del presente párrafo, tratándose de instituciones de banca de desarrollo, se deberá involucrar a su órgano interno de control.

Los procesos del Plan de Gestión para la prevención del fraude deben contener una combinación de controles preventivos, de detección y de respuesta a las Conductas observables para la gestión del fraude. Todos los procesos deben realizarse y estar debidamente documentados. Los proyectos mínimos que se deben considerar en el Plan de Gestión para la prevención del fraude son:

I.       Prevención de Conductas observables para la gestión del fraude.

a)    Establecer en la Institución una cultura que promueva el comportamiento ético en todos los niveles del personal, a través de campañas, capacitaciones y el establecimiento de manuales de ética.

b)    Incluir en su código de conducta o declaración de ética las medidas y responsabilidades que los empleados tienen en materia de tratamiento y prevención de Conductas observables para la gestión del fraude, así como las correspondientes sanciones en caso de su incumplimiento.

c)     Capacitar, al menos una vez al año, a los empleados para la atención de Conductas observables para la gestión del fraude de acuerdo con sus funciones y responsabilidades.

d)    Capacitar, al menos una vez al año, a los empleados en la atención al Público Usuario que sean víctimas de posibles Conductas observables para la gestión del fraude.

e)    Proporcionar al Usuario capacitación sobre los riesgos de las Conductas observables para la gestión del fraude y las medidas preventivas que estos pueden tomar para reducir el riesgo de convertirse en víctimas. En el caso de operaciones a través del servicio de Banca electrónica, lo señalado en el presente párrafo será complementario con lo referido en el artículo 306, fracción III de las presentes Disposiciones.

f)     Implementar estrategias para la prevención de fraudes en el proceso de originación de crédito, con el objetivo de prevenir la aceptación de información falsa en las solicitudes de crédito.

g)    Establecer medidas para prevenir la realización de Conductas observables para la gestión del fraude en Personas en Situación de Vulnerabilidad , a través de capacitación del personal, promoción de nuevos modelos de atención de servicios bancarios, campañas de educación financiera señalando que las Instituciones nunca solicitan información confidencial al Usuario, programas de asesoría con personal en los cajeros automáticos de las sucursales, campañas antifraude, programas de asesoría remota y alternativas de solución a problemas sobre los productos y servicios bancarios e implementación de acciones que permitan nuevos modelos de atención.

h)    Establecer medidas para combatir conductas tendientes a obtener datos confidenciales del Usuario, a través de una solicitud fraudulenta por correo electrónico, sitios web, llamadas telefónicas, Mensajes SMS, entre otros medios, en la que el perpetrador se hace pasar por una empresa legítima o una persona de confianza; estableciendo como mínimo, las siguientes medidas: campañas permanentes dirigidas al Usuario, señalando que las Instituciones nunca solicitan información confidencial al Usuario; consejos sobre la identificación de correos electrónicos falsos, llamadas o mensajes de texto fraudulentos; promoción de canales de comunicación protegidos y cifrados para transmitir información sensible con el Usuario; establecimiento de procedimientos claros para la denuncia de este tipo de conductas; implementación de soluciones en línea como software antivirus y antimalware; y monitoreo de sitios web falsos.

i)      Brindar campañas informativas al Público Usuario con la finalidad de prevenir Conductas observables para la gestión del fraude.

II.      Detección de Conductas observables para la gestión del fraude.

a)    Contar con sistemas y controles para la revisión y seguimiento de operaciones, capaces de detectar anomalías y operaciones que se aparten del Monto Transaccional del Usuario o relacionadas con posibles actividades fraudulentas. En el caso de operaciones a través de Medios Electrónicos, lo señalado en el presente párrafo será complementario con lo referido en el artículo 316 Bis 13, de las presentes Disposiciones.

b)    Contar con modelos, sistemas de monitoreo o informes diseñados para detectar y alertar actos fraudulentos en todas las líneas de negocios como son de manera enunciativa, mas no limitativa, informes de excepción, informes de mantenimiento de archivos, procesos de vigilancia de empleados, monitoreo de cuentas, control de accesos al sistema, patrones y anulaciones.

c)     Contar con sistemas automatizados de alertamiento de operaciones dirigidas a los Usuarios, que se aparten del Monto Transaccional del Usuario y de los parámetros basados en el consumo y la localización de Operaciones Monetarias generadas por el Usuario, de tal forma que este pueda detectar el inicio de operaciones e intentos fallidos de iniciarlas, así como procesos documentados en manuales para la gestión de alertas.

        La información que resulte de los sistemas de alertamiento formará parte de la evidencia referida en el inciso f), fracción IV del Anexo 12-F de las presentes disposiciones. Asimismo, las instituciones deberán implementar procesos con el objetivo de proteger los recursos de los Usuarios cuando se presenten los alertamientos referidos, tales como recomendar al Usuario el cambio de contraseñas, cambio de Factores de Autenticación, en su caso, entre otros, cuya metodología debe estar documentada en el presente plan.

d)    Diseñar indicadores operativos relativos a la detección de Conductas observables para la gestión del fraude. Los indicadores y su seguimiento con corte a la fecha de aprobación del Plan de Gestión para la prevención del fraude deberán formar parte de este como un anexo.

e)    Analizar los datos de pérdidas derivadas de Conductas observables para la gestión del fraude, transacciones, cancelaciones, Reclamaciones Monetarias, errores y datos de quejas del Público Usuario, con la finalidad de detectar posibles hechos de comisión del delito de fraude.

f)     Incorporar canales internos y sistemas de informes mediante los cuales los empleados de las Instituciones puedan denunciar de manera anónima Conductas observables para la gestión del fraude.

III.     Respuesta a Conductas observables para la gestión del fraude.

a)    Investigar todos los casos de las Conductas observables para la gestión del fraude, para determinar hechos e identificar riesgos y debilidades de control.

b)    Establecer procedimientos documentados y aprobados por la Dirección General que rijan la investigación de casos reales o sospechas de Conductas observables para la gestión del fraude. Estos procedimientos deben designar al personal responsable de supervisar y llevar a cabo la investigación, y establecer normas relativas al procedimiento de la investigación, como las normas que rigen la realización de entrevistas, el tratamiento de las pruebas o evidencias, el tratamiento de las personas involucradas y el informe de los resultados.

c)     Informar al Consejo, a través del de la persona titular o responsable del área encargada de prevención de fraudes, todos los eventos relevantes de las Conductas observables para la gestión del fraude, definiendo su relevancia en el propio Plan de Gestión para la prevención del fraude. Asimismo, en dicho plan se deberá establecer la periodicidad con la que deberá informarse al Consejo.

d)    Registrar todos los hechos determinados como comisión del delito de fraude por las autoridades competentes y analizarlos para mejorar el Plan de Gestión para la prevención del fraude. Los eventos concluidos y sus análisis a la fecha de aprobación del Plan de Gestión para la prevención del fraude deberán formar parte de este como un anexo, agrupando por casuística del delito de fraude y describiendo cómo se llevaron a cabo, qué medidas de control, en su caso, fallaron y los ajustes o nuevas medidas de control que se implementaron para prevenir que las medidas de control vuelvan a fallar, en su caso.

e)    Establecer una serie de indicadores para el seguimiento de Conductas observables para la gestión del fraude. Los indicadores y su seguimiento con corte a la fecha de aprobación del Plan de Gestión para la prevención del fraude deberán formar parte de este como un anexo.

f)     Establecer un canal de comunicación interbancario donde se comparta la información relativa a la casuística y las posibles personas físicas empleadas de las Instituciones que cometieron Conductas observables para la gestión del fraude internas, sólo en caso de que la infracción respecto al código de conducta de las Instituciones esté documentada.

g)    Establecer un canal de comunicación interbancario, a través del cual las instituciones de crédito intercambiarán información cuando tengan alertamientos, incluyendo Reclamaciones Monetarias de sus clientes por presuntas actividades fraudulentas realizadas por personas físicas o morales, que involucren a más de una institución y, así como las acciones que llevarán a cabo para colaborar entre ellas para evitar la materialización de un delito, así como, para compartir los comportamientos y tendencias del delito de fraude detectadas dentro del Sistema Financiero, datos y la documentación necesaria para la resolución de Reclamaciones Monetarias recibidas por el Público Usuario.

La persona titular de la dirección general es responsable de monitorear la revisión, al menos una vez al año, para que se garantice que la estrategia puede contribuir a un enfoque de respuesta a Conductas observables para la gestión del fraude. Cada una de las unidades de negocio deben llevar a cabo pruebas y revisiones basadas en los controles que pudieron haber fallado. Asimismo, al menos una vez cada dos años, de manera alternada con la auditoría interna señalada en la fracción XV del artículo 160 de las presentes disposiciones, un auditor externo independiente debe determinar la efectividad y debilidades del Plan de gestión para la prevención del fraude, estableciendo recomendaciones para su mejora continua, tomando en cuenta los hechos identificados que representaron la comisión de fraudes, realizando el seguimiento de las acciones correctivas implementadas por las áreas o funciones responsables de atender dichas recomendaciones. El informe de cada auditoría formará parte de Plan de gestión para la prevención del fraude como anexo.

Anexo 12-F

De la información que las instituciones deberán poner a disposición del Usuario o la Comisión derivado de Reclamaciones Monetarias

Las Instituciones deberán asegurarse que los procesos y aspectos básicos de dictaminación de Reclamaciones Monetarias sean transparentes, considerando al menos lo siguiente:

I.        Cada Institución debe tener establecido un procedimiento para Reclamaciones Monetarias documentado en sus manuales de procedimientos y ponerlo a disposición del Usuario en su página de Internet y en sucursal mediante un aviso visible o utilizando pantallas visibles informativas o cualquier otro medio semejante, que permita al Usuario obtener de manera expedita o descargar por escrito el procedimiento de Reclamaciones Monetarias.

          Estos procedimientos deberán prever las consideraciones que sean aplicables cuando la Reclamación Monetaria sea realizada por un Usuario integrante de algún grupo de Personas en Situación de Vulnerabilidad.

II.       La Institución deberá poner a disposición del Usuario que presentó la Reclamación Monetaria, al menos cada 20 días hábiles, una actualización acerca del progreso de la investigación de la Reclamación Monetaria hasta que sea resuelta o ya no pueda ser procesada dentro de la Institución, a través de los canales que la Institución haya establecido en sus procedimientos para la atención de reclamaciones.

III.      En el caso de Reclamaciones Monetarias que resultaron no procedentes para el Usuario, la Institución deberá contar con la evidencia y el detalle de los siguientes elementos mínimos, los cuales deberán estar a disposición de la Comisión o cualquier otra autoridad competente:

a)    Monto Transaccional del Usuario, así como la información determinada por la institución respecto del monto, número, tipo, naturaleza, frecuencia y canales que comúnmente realiza el Usuario que presentó la Reclamación Monetaria.

b)    Transaccionalidad declarada por el Usuario en la apertura de la cuenta que, entre otros, incluya canales, periodicidad y monto de sus Operaciones Monetarias.

c)     Reclamaciones Monetarias del Usuario que sean del conocimiento de la institución en los últimos 12 meses, señalando el medio o canal por el cual haya sido comunicado a la institución, y la fecha en que se registraron.

d)    Evidencia del registro de la Reclamación Monetaria en sistemas o bitácoras de la institución.

e)    Verificación de la legitimidad y apego al sistema de control interno de la institución, de las operaciones realizadas por la institución sobre la cuenta donde se realizó la Operación Monetaria, en los 90 días naturales anteriores a la fecha de la Reclamación Monetaria:

i)      Que se utilizaron los mecanismos y procedimientos de autenticación estipulados y regulatoriamente permitidos para realizar la transacción siempre que la Institución hubiere permitido al Usuario utilizar la categoría de Factor de Autenticación previsto en las presentes disposiciones y, no así, un Factor de Autenticación de una categoría menor a la antes referida.

ii)     Que se realizó de conformidad con los límites de monto pactados con el Usuario conforme al artículo 315 de las presentes disposiciones.

iii)    Que, si el monto de la Operación Monetaria reclamada es mayor al Monto Transaccional del Usuario, se verificaron los procedimientos estipulados en el artículo 287 Bis I de las presentes disposiciones.

iv)    Que, para el caso de Reclamaciones Monetarias por Operaciones Monetarias realizadas a través de Banca Electrónica, el registro de las Cuentas Destino fue realizado acorde a la normativa aplicable, y que la Institución cumplió con la obligación de asegurarse de que sus clientes registraron en el servicio de Banca Electrónica de que se trate, las Cuentas Destino previamente a su uso, ya sea para ser utilizadas dentro del mismo servicio o, en otros servicios de Banca Electrónica.

v)     Que la generación de comprobantes y notificación de operaciones fue realizada de conformidad con el artículo 316 bis 1 de las presentes disposiciones y quedó registrado en la contabilidad de la Institución y hace fe en juicio de acuerdo con el artículo 100 de la Ley, sin que la Institución esté obligada a acreditar que el Usuario consultó el referido comprobante o notificación.

vi)    Alta o cambios en los datos de contacto, claves confidenciales, Factores de Autenticación o de beneficiarios, asociados a las cuentas afectadas.

f)     Un resumen de los alertamientos generados en los últimos 30 días, por los sistemas de la Institución, asociados a las cuentas del Usuario, sean o no relativos a la Operación Monetaria asociada a la Reclamación Monetaria. En caso de no haber alertamientos en dicho periodo, deberá señalarse.

g)    Gestiones realizadas con otras Instituciones para la devolución de recursos de la Operación Monetaria asociada a la Reclamación Monetaria, en su caso.

h)    Si el Usuario se autodenomina como parte de un grupo de Personas en Situación de Vulnerabilidad. En tal caso, en el diseño de recolección de los datos las Instituciones deberán señalar a los Usuarios que la declaración es de forma libre y voluntaria.

i)      Dictámenes o reportes operativos, técnicos, telefónicos, o de cualquier otra índole que genere la institución, con motivo de la Reclamación Monetaria.

IV.     En el caso de Reclamaciones Monetarias no procedentes para el Usuario, las Instituciones deberán incluir en la dictaminación de resolución una leyenda que especifique al Usuario que, en caso de que este no esté de acuerdo con la respuesta proporcionada por la Institución, puede iniciar una reclamación o queja ante las Unidades Especializadas de la Institución, y que también podrá iniciar de manera formal ante la Comisión Nacional de Protección y Defensa a los Usuarios de Servicios Financieros el procedimiento al que tienen derecho, detallando los canales y procedimientos para realizar la Reclamación Monetaria ante esa instancia.

V.      Las Instituciones deberán conservar por al menos cinco años los registros de todas las dictaminaciones de las Reclamaciones Monetarias, y documentación entregada al Publico Usuario que presenta la Reclamación Monetaria, para que puedan ser revisados por la Comisión o cualquier otra autoridad competente.”

El presente anexo no será obligatorio para aquellas reclamaciones presentadas a las Unidades Especializadas de las Instituciones, ni a la Comisión Nacional para la Protección y Defensa de los Usuarios de Servicios Financieros en los términos de la Ley de Protección y Defensa al Usuario de Servicios Financieros”

“Anexo 36

Reportes regulatorios

Índice

Serie R01 a Serie R26    . . .

Serie R27 Reclamaciones Monetarias					Periodicidad
			A-2701	Reclamaciones Monetarias	Mensual

 

Serie R28 a Serie R34    . . .”

“SERIE R01 CATÁLOGO MÍNIMO a SERIE R26 INFORMACIÓN POR COMISIONISTAS             . . .

SERIE R27 RECLAMACIONES MONETARIAS

Esta serie se integra por un (1) reporte, cuya frecuencia de elaboración y presentación debe ser mensual

REPORTE

 

FORMATO DE CAPTURA

. . .

 

Las Instituciones reportarán la información que se indica en la presente serie, la cual deberá cumplir con las validaciones y estándares de calidad que indique la Comisión, ajustándose a las características y especificaciones que, para efectos de llenado y envío de información, se presentan en los instructivos de llenado, los cuales se publican y actualizan en el SITI o en el que, en su caso, dé a conocer la Comisión. Una vez superadas las validaciones y estándares de calidad, el SITI generará un acuse de recibo electrónico.

La información deberá enviarse una sola vez y se recibirá asumiendo que reúne todas las características y especificaciones, en virtud de lo cual no podrá ser modificada y deberá presentar consistencia con los diversos reportes en los que se incluya la misma información con un nivel distinto de integración, por lo que, de no reunir la calidad y características exigibles o haber sido presentada de forma incompleta, se considerará como no cumplida la obligación de su presentación y, en consecuencia, se procederá a la imposición de las sanciones correspondientes de conformidad con las disposiciones legales que resulten aplicables.

SERIE R28 INFORMACIÓN DE RIESGO OPERACIONAL a SERIE R36 PAGOS ANTICIPADOS       . . .”