Les 22 documents du toolkit Ley 10.889, un par un

Explique l’instrument d’autodiagnostic de la Ley 10.889 et du Règlement SUGEF 5-26 : ses 11 questions de profil et ses 84 contrôles obligatoires répartis en dix domaines, qui répond à chaque question, l’effet de chaque réponse et la lecture des indices de conformité, de certitude et de justification. Il précise aussi ce qu’il ne calcule pas : les amendes.

Réunit en un seul endroit les canaux où sont reçues les réclamations et les canaux numériques, avec ce que la loi et le règlement exigent de chacun : disponibilité 24 h/24, enregistrement du moment et du canal, autoblocage, double authentification et notification en moins d’une minute. Une feuille des écarts recense ce qui manque.

Enregistre chaque cas d’escroquerie avec les neuf données minimales de l’art. 4 du Règlement SUGEF 5-26 et calcule l’analyse statistique par typologie qu’exige ce même article. Il comprend un catalogue de typologies à ajuster. Le format de transmission à la SUGEF est provisoire : la SUGEF ne l’a pas encore défini.

Le document de gouvernance du risque d’escroquerie sur les canaux numériques : objet, canaux couverts, évaluation des risques avec les unités opérationnelles et les fonctions de contrôle, mise à jour, axes d’action et gouvernance. Il place sous une seule décision de l’organe de direction les contrôles, l’éducation des clients et l’information statistique.

Fixe le montant en dessous duquel l’établissement rembourse les sommes soustraites sans enquête détaillée (Ley 10.889, art. 13), avec les composantes de l’analyse coûts-avantages et la règle de transmission à la SUGEF. Le seuil est déclaré dans chaque transmission : la SUGEF pourra le comparer entre établissements.

Authentification forte à la connexion, pour les actions à risque et en libre-service ; examen des facteurs que le client pourrait transmettre à un tiers ; et les cinq mécanismes de protection de l’art. 14 du règlement. C’est aussi la source du journal de double authentification que l’Annexe 1 exige pour refuser une réclamation.

Documente les contrôles préventifs, de détection et correctifs, les huit facteurs de l’analyse multifactorielle (art. 12 du règlement), les paramètres d’approbation ou de refus des opérations, la confirmation préalable des opérations atypiques et le blocage préventif des fonds (art. 17). C’est la preuve centrale de l’établissement quand un client réclame.

Le programme permanent destiné aux clients : les huit contenus minimaux de l’art. 5 du règlement —du détournement de numéro de téléphone aux faux liens, appels et courriels—, les campagnes propres de l’établissement et la manière d’expliquer au client qu’il réclame avec le formulaire et la plainte déposée auprès de l’OIJ.

La procédure centrale de la loi : canaux de réception 24 h/24, réception et blocage immédiat, délais, enquête en deux temps —d’abord les contrôles et systèmes de l’établissement, puis la conduite du client—, décision, restitution, indemnisation, limite de 120 jours, remboursement sous le seuil et réclamations en cours au 22 avril 2026. Elle s’ouvre sur les trois erreurs courantes qu’elle évite.

Le formulaire simple qu’exige l’art. 3 de la loi, en huit sections : usage de l’établissement (code, heure, canal et blocage), coordonnées du réclamant, produit, opérations non reconnues, récit des faits avec ses mots, plainte auprès de l’OIJ, ses délais et droits, et la notice de protection des données de la Ley 8968.

La réponse des premières minutes quand une personne signale avoir été escroquée ou être en danger immédiat de l’être : déclenchement, qui l’applique —tout le personnel—, principes, huit étapes de prise en charge immédiate avec leur fondement, alignement sur les contrôles du règlement, formation et mise à jour annuelle avec autorisation de la SUGEF.

Comment refuser une réclamation preuves à l’appui : la condition préalable de démontrer que les contrôles étaient respectés, les trois motifs avec la preuve qu’exige chacun, le contenu de la décision de refus, la copie à l’OIJ et à la SUGEF, la liste de contrôle de l’Annexe 1 et un modèle de courrier de transmission. Elle intègre l’effet de la Circulaire SGF-OFC-0831-2026.

Ce qui est notifié au client et en combien de temps —opérations et événements de sécurité, en moins d’une minute—, par quels moyens, comment son identité est vérifiée pour les confirmations sensibles, quelles preuves sont conservées et la règle d’interdiction des liens raccourcis. Les notifications alimentent aussi deux journaux de l’Annexe 1.

Le signalement à la SUGEF et à l’OIJ des comptes ayant servi à recevoir le produit de fraudes, qui n’intervient qu’avec une décision de justice définitive : quatre étapes, les limites qu’impose la protection des données et l’intégration à la surveillance des informations que communique la SUGEF.

L’évaluation des risques qui encadre la stratégie : par canal et par typologie, probabilité, impact, contrôles existants, leur efficacité et le risque résiduel, avec plan d’action et responsable. Une feuille enregistre les participants des unités opérationnelles et des fonctions de contrôle. La méthode est une proposition : le règlement n’en fixe aucune.

Calcule le seuil en comparant le coût d’une enquête —y compris le risque de verser l’indemnité pour décision tardive— avec ce qui serait payé en trop en remboursant sans enquêter. La formule est une proposition construite sur les conséquences que fixe la loi elle-même, qui exige l’analyse mais pas sa méthode.

Réunit en une seule délibération les décisions que le règlement confie à l’organe de direction : approuver la stratégie, fixer la périodicité de sa révision et celle de la mise à jour de l’évaluation des risques. Elle peut aussi approuver la politique de remboursement sous le seuil. Avec considérants, cinq délibérations et signatures.

Comment satisfaire les deux exigences de l’art. 11 de la loi sur le protocole : que tout le personnel le connaisse et qu’il soit formé régulièrement. Public, contenu, modalité et fréquence —tout le personnel, accueil et centre d’appels, nouveaux arrivants—, évaluation et registre par personne.

Calcule, depuis la date de dépôt de chaque réclamation, les échéances légales —30 jours calendaires, préavis et validité de la prolongation, crédit et limite de 120 jours— et signale quand une réclamation arrive à échéance ou est échue. Il comprend le salaire de base en vigueur, une synthèse et une feuille des jours fériés pour que la prolongation compte les jours ouvrables.

Consigne ce qui peut modifier les obligations de l’établissement : les matières que la SUGEF n’a pas encore édictées, le recours en inconstitutionnalité contre l’art. 3 de la loi et les mises à jour annuelles de la réglementation. Il est prérempli avec la situation à la date d’arrêt, le 15 octobre 2026.

Dans quel ordre utiliser les fichiers, qui les complète et comment les prioriser : cinq étapes, du fonctionnement immédiat à la continuité ; les cinq étapes pour compléter un modèle ; et les quatre documents produisant des effets à l’égard des tiers que le service juridique devrait relire en premier.

Les 22 fichiers avec leur phase, leur format, les contrôles de l’autodiagnostic que couvre chacun et s’il requiert une approbation juridique prioritaire ; et la traçabilité des 87 contrôles vers le fichier qui y remédie. Il explique aussi pourquoi il n’y a pas de fichiers sur les fournisseurs : le texte ne leur impose aucune obligation.