Instrucciones sobre mecanismos, herramientas y metodologías para la plena identificación del potencial adquirente de bienes y servicios
Pretende impartir instrucciones a los sujetos vigilados por la Superintendencia de Industria y Comercio para la implementación de mecanismos, herramientas y metodologías que permitan la plena identificación del potencial adquirente de bienes y servicios, con el fin de prevenir la suplantación de identidad en la celebración de contratos que generen obligaciones económicas. Obligaciones de cumplimiento normativo- Implementar mecanismos de verificación de identidad: En la vinculación de nuevos clientes, apertura o adquisición de nuevos productos o servicios que generen obligaciones económicas, otorgamiento de créditos, ventas a plazos operaciones de alto riesgo.
- Verificación obligatoria en operaciones de alto riesgo: En operaciones como actualización de datos de contacto, recuperación de credenciales de acceso, vinculación de nuevos dispositivos e incrementos de cupo o monto de obligaciones.
- Aplicar mínimo dos mecanismos de verificación: Para la vinculación de nuevos clientes deberá utilizarse al menos dos mecanismos independientes de verificación de identidad. En las demás operaciones se considera buena práctica utilizar mínimo dos mecanismos correspondientes a factores diferentes (conocimiento, posesión o inherencia).
- Implementar un modelo basado en riesgo: Elaborar un análisis de riesgos de suplantación, clasificar las operaciones en al menos tres niveles de riesgo, definir controles diferenciados para cada nivel, mantener documentado dicho análisis, tenerlo disponible para la SIC.
- No imponer obligatoriamente biometría: No se podrá condicionar la adquisición de bienes o servicios al suministro de datos biométricos, debe ofrecerse al menos una alternativa real, efectiva y accesible a la biometría y la biometría obligatoria solo podrá justificarse excepcionalmente mediante análisis de riesgos documentado.
- Conservación de evidencia y trazabilidad: Los sujetos obligados deberán crear un expediente de verificación por cada operación, registrar mecanismos utilizados, resultados, proveedor, fecha, hora y canal y mantener evidencia suficiente para demostrar la diligencia empleada.
- Entrega de información a presuntas víctimas de suplantación: Copia de la información aportada para la aprobación del producto o servicio, imágenes, capturas, registros biométricos recolectados durante la operación.
