Los 22 documentos del toolkit Ley 10.889, uno por uno

Explica el instrumento de autodiagnóstico de la Ley 10.889 y el Reglamento SUGEF 5-26: sus 11 preguntas de perfil y 84 controles exigibles en diez dominios, quién responde cada pregunta, qué efecto tiene cada respuesta y cómo se leen los índices de conformidad, certeza y respaldo. Dice también lo que no calcula: multas.

Reúne en un solo lugar los canales donde se reciben reclamos y los canales digitales, con lo que la ley y el reglamento exigen a cada uno: disponibilidad 24/7, registro del momento y el canal, autobloqueo, doble factor y notificación en menos de un minuto. Una hoja de brechas cuenta lo que falta.

Registra cada caso de estafa con los nueve datos mínimos del art. 4 del Reglamento SUGEF 5-26 y calcula el análisis estadístico por tipología que exige ese mismo artículo. Trae un catálogo de tipologías para ajustar. El formato de remisión a la SUGEF es provisional: la SUGEF aún no lo define.

El documento de gobierno del riesgo de estafas en los canales digitales: objeto, canales comprendidos, evaluación de riesgos con las unidades de negocio y las funciones de control, cuándo se actualiza, líneas de acción y gobierno. Ordena bajo una sola decisión del Órgano de Dirección los controles, la educación al usuario y la información estadística.

Fija el monto por debajo del cual la entidad devuelve lo sustraído sin investigación detallada (Ley 10.889, art. 13), con los componentes del análisis costo-beneficio y la regla de remisión a la SUGEF. El umbral se declara en cada remisión, así que la SUGEF podrá compararlo entre entidades.

Autenticación robusta en el ingreso, en las acciones de riesgo y en la autogestión; revisión de los factores que el usuario podría transferir a un tercero; y los cinco mecanismos de protección del art. 14 del reglamento. Es también la fuente de la bitácora del doble factor que el Anexo 1 exige para rechazar un reclamo.

Documenta los controles preventivos, detectivos y correctivos, los ocho factores del análisis multifactorial (art. 12 del reglamento), los parámetros para aprobar o denegar transacciones, la confirmación previa de las atípicas y los bloqueos preventivos de fondos (art. 17). Es la prueba central de la entidad cuando un usuario reclama.

El programa permanente dirigido a los usuarios: los ocho contenidos mínimos del art. 5 del reglamento —del secuestro del número telefónico a los enlaces, llamadas y correos falsos—, las campañas propias de la entidad y cómo explicar al usuario que reclame con el formulario y la denuncia ante el OIJ.

El procedimiento central de la ley: canales de recepción las 24 horas, recepción y bloqueo inmediato, plazos, investigación en dos etapas —primero los controles y sistemas de la entidad, después la conducta del usuario—, resolución, restitución, compensación, límite de 120 días, devolución bajo el umbral y los reclamos pendientes al 22 de abril de 2026. Abre con los tres errores frecuentes que evita.

El formulario sencillo que exige el art. 3 de la ley, en ocho secciones: uso de la entidad (código, hora, canal y bloqueo), datos de quien reclama, producto, transacciones que no reconoce, qué ocurrió con sus palabras, denuncia ante el OIJ, sus plazos y derechos, y el aviso de protección de datos de la Ley 8968.

La respuesta de los primeros minutos cuando alguien informa que fue estafado o que está en riesgo inmediato de serlo: cuándo se activa, quién lo aplica —todo el personal—, sus principios, ocho pasos de atención inmediata con su fundamento, la alineación con los controles del reglamento, la capacitación y la actualización anual con autorización de la SUGEF.

Cómo rechazar un reclamo con prueba: el requisito previo de demostrar que se cumplían los controles, las tres causales con la prueba que exige cada una, el contenido de la resolución denegatoria, la copia al OIJ y a la SUGEF, la lista de verificación del Anexo 1 y un modelo de oficio de remisión. Recoge el efecto de la Circular SGF-OFC-0831-2026.

Qué se notifica al usuario y en cuánto tiempo —transacciones y eventos de seguridad, en menos de un minuto—, por qué medios, cómo se verifica su identidad en las confirmaciones sensibles, qué evidencia se conserva y la regla de no usar enlaces acortados. Las notificaciones son además la fuente de dos bitácoras del Anexo 1.

El reporte a la SUGEF y al OIJ de las cuentas usadas para recibir fondos de fraudes, que procede solo con resolución judicial firme: cuatro pasos, los límites que impone la protección de datos y cómo se incorpora al monitoreo la información que comunique la SUGEF.

La evaluación de riesgos que enmarca la estrategia: por canal y por tipología, probabilidad, impacto, controles existentes, su efectividad y el riesgo residual, con plan de acción y responsable. Una hoja registra a los participantes de las unidades de negocio y las funciones de control. La metodología es una propuesta: el reglamento no fija ninguna.

Calcula el umbral comparando lo que cuesta investigar un reclamo —incluido el riesgo de pagar la compensación por resolver tarde— con lo que se pagaría de más devolviendo sin investigar. La fórmula es una propuesta construida con las consecuencias que fija la propia ley, que exige el análisis pero no su método.

Reúne en un solo acuerdo las decisiones que el reglamento deja al Órgano de Dirección: aprobar la estrategia, fijar cada cuánto se revisa y cada cuánto se actualiza la evaluación de riesgos. Puede aprobar además la política de devolución bajo umbral. Con considerandos, cinco acuerdos y firmas.

Cómo cumplir las dos exigencias del art. 11 de la ley sobre el protocolo: que todo el personal lo conozca y que se le capacite con regularidad. Público, contenido, modalidad y frecuencia —todo el personal, atención al público y centro telefónico, personal nuevo—, evaluación y registro por persona.

Calcula, desde la fecha de presentación de cada reclamo, los vencimientos de la ley —30 días naturales, aviso y validez de la prórroga, acreditación y límite de 120 días— y avisa cuándo un reclamo está por vencer o vencido. Trae el salario base vigente, un resumen y una hoja de feriados para que la prórroga cuente días hábiles.

Registra lo que puede cambiar las obligaciones de la entidad: las materias que la SUGEF aún no dicta, la acción de inconstitucionalidad contra el art. 3 de la ley y las actualizaciones anuales de la normativa. Viene precargada con la situación a la fecha de corte, 15 de octubre de 2026.

En qué orden usar los archivos, quién los completa y cómo se priorizan: cinco etapas, de la operación inmediata a la continuidad; los cinco pasos para completar una plantilla; y los cuatro documentos con efecto frente a terceros que conviene que el área legal revise primero.

Los 22 archivos con su fase, su formato, los controles del autodiagnóstico que cierra cada uno y si requiere aprobación prioritaria del área legal; y la trazabilidad de los 87 controles con el archivo que los remedia. Explica además por qué no hay archivos sobre proveedores: la norma no impone obligaciones sobre ellos.