Mediante Resolución No. SB-2023-02416, emitida por la Superintendenta de Bancos Subrogante, resuelven emitir el Capítulo VI que busca normar la calificación, supervisión y control para las entidades de Servicios Financieros Tecnológicos, así como la emisión de la licencia para el ejercicio de las actividades Fintech de las Sociedades Especializadas de Depósitos y Pagos Electrónicos (en adelante “Norma”).
La Sección I establece el objetivo y ámbito de la norma, definiendo requisitos, políticas, procesos y procedimientos para la calificación y emisión de licencia de entidades de servicios financieros tecnológicos, así como para las Sociedades Especializadas de Depósitos y Pagos Electrónicos. Incluye aspectos de gobierno corporativo, administración de riesgos, ciberseguridad y seguridad de la información.
En esta sección se abordan aspectos relacionados con las entidades que otorgan créditos de forma digital, detallando su constitución, objeto social, razón social, prohibición de intermediación, productos permitidos (concesión de crédito directo y emisión de tarjeta de crédito), y condiciones para la operación de tarjetas de crédito. Se establece la necesidad de cumplir con normativas específicas y requisitos para la operación en diferentes segmentos de crédito.
Esta sección detalla los procedimientos para la constitución de las Sociedades Especializadas de Depósitos y Pagos Electrónicos (SEDPES), estableciendo que deben cumplir con requisitos y procedimientos de la Junta de Política y Regulación Monetaria.
También aborda la relación con las Administradoras de Sistemas Auxiliares de Pago (ASAP), estableciendo requisitos para la prestación de servicios y la necesidad de verificar la vigencia de la calificación al contratar con entidades controladas por la Superintendencia de Bancos. Se menciona la posibilidad de revocar la licencia en caso de incumplimientos.
Esta sección establece los requisitos previos para la calificación o emisión de licencia de entidades financieras tecnológicas. Se destaca la necesidad de presentar un estudio de factibilidad económico-financiero, que incluya tasas de interés y tarifas definidas por la Junta de Política y Regulación Financiera. Además, se exige un modelo de innovación tecnológica y de tecnología crediticia, detallando aspectos como el plan estratégico, estudio de mercado, gestión de riesgos, productos y servicios, y estructura administrativa. Se establecen condiciones específicas para sistemas alternativos de transacción, enrutamiento de órdenes, modelo de gestión crediticia y seguridad de la información, incluyendo ciberseguridad. Se establece un proceso de revisión y subsanación de observaciones por parte de la Superintendencia de Bancos antes de la emisión de la licencia.
Esta sección establece los requisitos comunes para la calificación de entidades de servicios tecnológicos de concesión digital de créditos y la emisión de licencia para Sociedades Especializadas de Depósitos y Pagos Electrónicos. Tras la aprobación del estudio de factibilidad económico-financiero y modelo de innovación tecnológica, las entidades deben presentar una serie de documentos, incluyendo:
Esta sección describe el proceso que sigue la Superintendencia de Bancos una vez que recibe la solicitud de calificación o licencia. La Superintendencia verifica el cumplimiento de los requisitos formales y puede requerir documentación adicional. Se establece un plazo de hasta diez días para proporcionar la información adicional solicitada, y la falta de cumplimiento puede resultar en el archivo de la solicitud. Además, se menciona que la Superintendencia de Bancos puede solicitar la presentación de documentos originales o copias certificadas, y que los documentos otorgados en el extranjero deben presentarse debidamente autenticados o apostillados. Se destaca que la Superintendencia tiene un plazo máximo de sesenta días para resolver sobre la calificación, aceptando o rechazando la solicitud.
Esta sección aborda las políticas y procesos internos que deben seguir las entidades para prestar servicios de concesión digital de créditos. Se destacan los siguientes aspectos:
En el artículo 29, se establece que las entidades que ofrecen concesiones digitales de créditos deben implementar mecanismos de seguridad en sus plataformas, siguiendo las normativas de seguridad de la información y protección de datos personales. El artículo 30 enfatiza la necesidad de que estas entidades implementen sistemas de scoring y modelización de riesgos, ya sea desarrollados internamente o proporcionados por terceros, para evaluar la solvencia y el riesgo crediticio de los solicitantes, así como el seguimiento de los créditos para estimar las pérdidas esperadas. El artículo 31 establece que deben tener procedimientos de gestión de cobranzas para el seguimiento de pagos y manejo de la morosidad. Por último, el artículo 32 destaca la importancia de mantener procedimientos para la generación de informes contables, financieros y de riesgos, asegurando la presentación de datos relevantes sobre las operaciones de la cartera de créditos y la solidez financiera, según lo requerido por el organismo de control.
Esta sección establece requisitos para el gobierno corporativo de las entidades que soliciten calificación o licencia. Deben seguir principios de buen gobierno, incorporar comités específicos en su estructura, y cumplir funciones alineadas con normativas de regulación y control. Se destaca la importancia de la transparencia en la divulgación de información financiera y operativa, exigiendo la publicación de informes y una comunicación clara de políticas y términos de servicios.
En esta sección, se detallan las obligaciones de las entidades en relación con la evaluación, clasificación y administración de riesgos financieros tecnológicos. Se destaca la obligación de las compañías de implementar mecanismos de monitoreo y control, especialmente en áreas como ciberseguridad y riesgo operativo, así como el cumplimiento de las disposiciones de la Norma de Control para la Administración del Riesgo de Lavado de Activos y Financiamiento de Delitos como el Terrorismo para mitigar estos riesgos.
La sección XI se centra en las medidas que deben tomar las entidades en el ámbito de la ciberseguridad y la seguridad de la información. Se hace hincapié en el cumplimiento de normativas específicas (Norma de Control para la Gestión del Riesgo Operativo de la Codificación de las normas de la Superintendencia de Bancos), la implementación de políticas y procedimientos de seguridad, la protección contra amenazas cibernéticas, y la necesidad de contar con un plan de respuesta a incidentes de seguridad. También se destaca la importancia de la capacitación continua en ciberseguridad y la obligación de realizar auditorías periódicas y pruebas de seguridad.
Esta sección establece que las entidades de servicios financieros tecnológicos deben aplicar el régimen contable expedido por la Superintendencia de Bancos. Especifica la obligación de seguir las normativas contables establecidas por la entidad reguladora, asegurando un marco adecuado para la presentación de informes financieros y operativos.