Source: http://bazica.org/sarlaft-formulario-conocimiento-del-cliente-firma-digital-y-el.html
Timestamp: 2019-08-24 12:02:50+00:00

Document:
Concepto 2014111116-001 del 7 de enero de 2015
Síntesis: El diligenciamiento del formulario de solicitud de vinculación de clientes, así como el recaudo de la firma puede efectuarse de acuerdo con lo previsto en la Ley 527 de 1999, en concordancia con lo previsto en el Decreto 2364 de 2012, toda vez que las referidas disposiciones le reconocen a la firma digital y a la firma electrónica la misma fuerza, validez y efectos jurídicos siempre que se cumplan con los citados requisitos establecidos para cada una de ellas.
«(…) comunicación mediante la cual formula una inquietud relacionada con la posibilidad de reemplazar la firma y huella en el formulario de solicitud de vinculación de clientes, en la celebración de contratos de seguros a través de un “motor automático” que valida la identidad del cliente.
“Con toda atención le solicitarnos su concepto con relación a la validación del documento de identidad para efectos de SARLAFT al momento de vender las pólizas de seguro por internet a clientes bancarizados (que tengan un producto del activo ó un producto del pasivo ó un producto transaccional), los cuales adquieren las pólizas de seguro en línea y validan la identidad por medio de un motor automático de BURO DE CREDITO( producto de propiedad de una Central de Información) , que valida la titularidad del cliente por medio de preguntas aleatorias relacionadas con su identidad ( cedula (sic) e (sic) ciudadanía ) y con su información financiera( derivada de la relación que tiene el cliente con los productos financieros) reemplazando la firma y huella del formulario de vinculación; en el formulario en línea que captura los mismos campos de formulario físico con la diferencia mencionada de firma y huella.
Lo anterior aplicado corno un canal de distribución masivo para la entidad emisora de las pólizas de seguro.”
Sobre el particular, de manera atenta damos respuesta a su solicitud en los siguientes términos:
Inicialmente, se encuentra oportuno resaltar que tratándose del Sistema de Administración del Riesgo de Lavado de Activos y la Financiación del Terrorismo, el mecanismo del Conocimiento del Cliente, constituye la base a partir del cual se estructuran y
despliegan todos los demás mecanismos e instrumentos para la prevención y control del lavado de activos, así como para detectar y reportar las operaciones que pretendan dar apariencia de legalidad a operaciones vinculadas con el LA/FT.
Es así que una adecuada, precisa, oportuna, suficiente y diligente aplicación de los mecanismos de conocimiento del cliente le permite la identificación o individualización plena de la persona natural o jurídica que se pretende vincular a las entidades vigiladas, así como establecer la veracidad y consistencia de la información suministrada, identificar la actividad económica de sus clientes, así como el marco de su operación regular, las características de las transacciones en que involucran corrientemente y el perfil que les corresponde para advertir el segmento del mercado al cual pertenecen y las posibles transacciones que pueden realizar dentro del universo que los describe y bajo el producto o servicio suministrado por la entidad vigilada.
Lo anteriormente expuesto tiene como objetivo principal identificar oportunamente cualquier transacción que no se acomode al perfil respectivo, que no guarde coherencia con su actividad, con la normalidad de sus transacciones, con las características usuales de sus operaciones o con la información suministrada para la vinculación, situación que comportaría activar todos los procedimientos y controles para normalizar la operación o efectuar los reportes a que hubiere lugar.
El proceso de vinculación de un cliente, debe llevar a la entidad vigilada al proceso de adopción de la decisión de entablar relaciones comerciales y contractuales con los sujetos de derecho, de manera oportuna y suficientemente informada, soportada y con el fin de contar con todos los elementos de juicio necesarios para optar por prestar sus servicios de manera óptima y con toda la información requerida para que el sistema de administración del riesgo de lavado de activos y financiación del terrorismo funcione satisfactoriamente y en cumplimiento de la normativa sobre el particular.
En punto a la importancia del mecanismo del conocimiento del cliente, se encuentra relevante mencionar lo expresado por el Comité de Supervisión Bancaria de Basilea en el siguiente sentido:
(...) 7. La necesidad de contar con normas rigurosas de debida diligencia con los clientes, no se limita a los Bancos. El Comité de Basilea recomienda una orientación similar para las instituciones financieras no bancarias y los intermediarios profesionales de servicios financieros (...).
(...) 19. Todos los bancos deberían <>. Los bancos deben incluir ciertos elementos claves en el diseño de sus programas KYC. Estos elementos esenciales deberían partir de los procedimientos de gestión control de riesgos del banco e incluir: 1) una política de aceptación de clientes, 2) identificación de clientes, 3) seguimiento continuo de cuentas de alto riesgo, y 4) gestión de riesgos. Los bancos deben establecer la identidad del cliente y además controlar la actividad de la cuenta para determinar aquellas transacciones que no se ajusten a las transacciones normales a esperadas para ese cliente o tipo de cuenta. KYC debe ser un elemento básico de los procedimientos de gestión y control de riesgos del banco y estar respaldado por evaluaciones de cumplimiento y auditorías internas regulares. La intensidad de los programas KYC más allá de estos elementos esenciales dependerá del grado de riesgo.
Así las cosas, se debe resaltar que a partir del conocimiento del cliente y con base en la información primaria y de entrada de los clientes a las sociedades vigiladas, se estructura todo el proceso de prevención y control del lavado de activos, por lo tanto, las debilidades, deficiencias y fallas en dicho proceso, comprometen toda la gestión posterior de prevención que realiza la entidad, pues la tornan inútil e ineficiente por la carencia de información idónea, precisa y confiable.
Expuesto lo anterior, de acuerdo con lo señalado en el Capítulo IV, Título IV, parte Primera de la Circular Externa 029 de 2014 de la Superintendencia Financiera que actualmente contiene las Instrucciones Relativas a la Administración del Riesgo de Lavado de Activos y de Financiación del Terrorismo, se establece que las entidades vigiladas deben adoptar los mecanismos que les permitan, entre otros aspectos, conocer al cliente actual y potencial
Es así que el SARLAFT que implementen las entidades vigiladas debe contar con procedimientos para obtener un conocimiento efectivo, eficiente y oportuno de todos los clientes actuales y potenciales, así como para verificar la información y los soportes de la misma, lo que a su turno implica conocer de manera permanente y actualizada, entre otros, la identificación que supone el conocimiento y verificación de los datos exigidos en el formulario que posibiliten individualizar plenamente a la persona que se pretende vincular.
Con el fin de dar cumplimiento a las instrucciones en materia de conocimiento del cliente, las entidades vigiladas deben diseñar y adoptar formularios de solicitud de vinculación que contengan los espacios mínimos para recaudar la información de que trata el subnumeral 4.2.2.2.1.3 del referido Capítulo IV.
Ahora bien, dentro de los datos que se deben recaudar en el formulario, sin perjuicio de los demás que la entidad vigilada considere importantes para efectos de controlar el riesgo de lavado de activos y financiación del terrorismo, se encuentra la firma y la huella del solicitante.
De conformidad con las disposiciones en materia de “Parámetros de los Procedimientos de Conocimiento del Cliente”, contenidas en el subnumeral 4.2.2.2.1.8.3 del Capítulo IV, según el cual el diligenciamiento del formulario de solicitud de vinculación de clientes, así como el recaudo de los documentos y la firma del mismo pueden efectuarse de acuerdo con el procedimiento señalado en la Ley 527 de 1999.
En el anterior sentido, con la expedición de la Ley 527 de 1999 se definió y reglamentó el acceso y uso de los mensajes de datos, del comercio electrónico y de las firmas digitales, entre los aspectos más relevantes, así como lo relacionado con la firma digital. Es así, que de conformidad con el literal c) del artículo segundo de la mencionada Ley, la firma digital se define en los siguientes términos: “c) Firma digital. Se entenderá como un valor numérico que se adhiere a un mensaje de datos y que, utilizando un procedimiento matemático conocido, vinculado a la clave del iniciador y al texto del mensaje permite determinar que este valor se ha obtenido exclusivamente con la clave del iniciador y que el mensaje inicial no ha sido modificado después de efectuada la transformación;”
Por su parte el artículo 7 de la Ley 527, en el evento en que cualquier norma exija la presencia de una firma o establezca ciertas consecuencias en ausencia de la misma, en relación con un mensaje de datos, se entenderá satisfecho tal requerimiento siempre que se cumplan dos requisitos a saber:
“a) Se ha utilizado un método que permita identificar al iniciador de un mensaje de datos y para indicar que el contenido cuenta con su aprobación;
De igual manera, es preciso señalar que de conformidad con lo expresado en el parágrafo del artículo 28 de la Ley 527 de 1999, para que la firma digital tenga la misma fuerza y efectos que el uso de una firma manuscrita, debe incorporar los siguientes atributos:
De otra parte, el Decreto 2364 de 2012 reglamentó el artículo 7 de la Ley 527 de 1999 en lo relacionado con la firma electrónica, definiendo a esta última en el numeral 3 del artículo primero, como: “Métodos tales como, códigos, contraseñas, datos biométricos, o claves criptográficas privadas, que permite identificar a una persona, en relación con un mensaje de datos, siempre y cuando el mismo sea confiable y apropiado respecto de los fines para los que se utiliza la firma, atendidas todas las circunstancias del caso, así como cualquier acuerdo pertinente.” (Negrilla y subrayado fuera de texto)
A su turno, en relación con el cumplimiento del requisito de la firma, establece el artículo 3 de la misma disposición que “Cuando se exija la firma de una persona, ese requisito quedará cumplido en relación con un mensaje de datos si se utiliza una firma electrónica que, a la luz de todas las circunstancias del caso, incluido cualquier acuerdo aplicable, sea tan confiable como apropiada para los fines con los cuales se generó o comunicó ese mensaje.”
De igual manera, en relación con los efectos jurídicos de la firma electrónica, es preciso mencionar que tendrá la misma validez y efectos jurídicos que la firma, siempre y cuando acredite el cumplimiento de los requisitos anteriormente referidos, tal como lo prevé el artículo 5 del Decreto reglamentario.
Expuesto lo anterior, resulta posible concluir que el diligenciamiento del formulario de solicitud de vinculación de clientes, así como el recaudo de la firma puede efectuarse de acuerdo con lo previsto en la Ley 527 de 1999, en concordancia con lo previsto en el Decreto 2364 de 2012, toda vez que las referidas disposiciones le reconocen a la firma digital y a la firma electrónica la misma fuerza, validez y efectos jurídicos siempre que se cumplan con los citados requisitos establecidos para cada una de ellas.
Efectuadas las consideraciones anteriores, se encuentra oportuno citar lo expresado por la Comisión de la Naciones Unidas para el Derecho Mercantil Internacional, en su documento titulado “Fomento de la Confianza en el Comercio Electrónico: Cuestiones Jurídicas de la Utilización Internacional de Métodos de Autenticación y Firma Electrónicas”, Viena 2009, según la cual, dentro de los principales métodos de firma y autenticación electrónicas, entre otros, se encuentran los métodos biométricos.
Al respecto, la Comisión mencionó en punto a la biometría lo siguiente:
“53. La medición biométrica es utilizada para identificar a una persona por sus rasgos físicos o de comportamiento intrínsecos. Los rasgos que pueden utilizarse para el reconocimiento biométrico son el ADN, las huellas dactilares, el iris, la retina, la geometría de las manos o el rostro, el termograma facial, la forma de la oreja, la voz, el olor corporal, la configuración de los vasos sanguíneos, la letra, el modo de andar y la forma de mecanografiar.”
54. La utilización de dispositivos que suponen por lo general captar una muestra biométrica, en forma digital, de algún rasgo biológico de una persona y a continuación se extraen datos biométricos de esa muestra para crear una plantilla de referencia. Se confirma la identidad de la persona a la que pertenece la muestra biométrica, o se verifica la autenticidad de las comunicaciones presuntamente originadas por esa persona, comparando sus datos biométricos con los almacenados en la plantilla de referencia.”
Expuesto lo anterior, el artículo 3 de la Ley 527 de 1999 en cuanto a la interpretación de la misma establece que para el efecto deberá tenerse en cuenta el origen internacional de la norma, la necesidad de promover la uniformidad de su aplicación y la observancia de la buena fe, lo que sumado a lo antes dicho nos permite afirmar que para efectos de cumplir con el requisito de obtención de la huella del solicitante en el formulario de solicitud de vinculación de clientes a través de un mensaje de datos, es decir “La información generada, enviada, recibida, almacenada o comunicada por medios electrónicos, ópticos o similares, como pudieran ser, entre otros, el Intercambio Electrónico de Datos (EDI), Internet, el correo electrónico, el telegrama, el télex o el telefax;” (Literal a), artículo 1, Ley 527 de 1999), el mismo se entendería cumplido en el evento en que se acuda por ejemplo a métodos tales como los “datos biométricos”, pues como se expresó, la medición biométrica es utilizada para identificar a una persona, entre otros aspectos, por sus huellas dactilares.
No obstante, imperativamente debemos resaltar que son las entidades vigiladas, en cumplimiento de lo previsto en el artículo 102 del Estatuto Orgánico del Sistema Financiero, en concordancia con las instrucciones contenidas en el Capítulo IV, quienes están en el deber de adoptar las medidas de control apropiadas y suficientes orientadas a evitar que en desarrollo de su actividad sean utilizadas para el Lavado de Activos o la Financiación del Terrorismo, pues la facultad de acudir a los mecanismos contenidos en la Ley 527 de 1999 sobre acceso y uso de mensajes de datos, están sujetas al cumplimiento de una suerte de requisitos, y cuya observancia, a su vez garantiza el cumplimiento estricto de los mecanismos de conocimiento del cliente que suponen la plena identificación o individualización de las personas que se pretenden vincular.

References: artículo 7
 artículo 28
 artículo 7
 artículo 3
 artículo 5
 artículo 3
 artículo 1
 artículo 102