República de Colombia Rama Judicial del Poder Público TRIBUNAL SUPERIOR DE BOGOTÁ, D.C. SALA CIVIL DE DECISIÓN Bogotá D.C., veintisiete (27) de noviembre de dos mil veinticuatro (2024) MAGISTRADA PONENTE: RADICACIÓN: PROCESO: DEMANDANTE: DEMANDADO: ANGELA MARÍA PELÁEZ ARENAS 11001-31-99-003-2022-04832-01 VERBAL MUNICIPIO DE MACHETÁ CUNDINAMARCA BANCO AGRARIO DE COLOMBIA ASUNTO: IMPUGNACIÓN SENTENCIA De conformidad con el artículo 12 de la Ley 2213 de 2022, decide el Tribunal el recurso de apelación interpuesto por la sociedad demandada, en contra de la sentencia emitida el 29 de mayo de 2024 por la Delegatura para Asuntos Jurisdiccionales de la Superintendencia Financiera de Colombia, en el asunto del epígrafe.
I.
ANTECEDENTES 1. El municipio demandante, de conformidad con el escrito de demanda, solicitó que se le ordene al banco accionado reconocerle, por concepto de daños y perjuicios, “(…) el 40% restante del desfalco a las cuentas de Machetá las cuales fueron defraudadas, pues se evidencian fallas de seguridad en el sistema bancario en el no bloqueo de la cuenta por la realización de las operaciones inusuales, teniendo en cuenta que fueron 92 transacciones bancarias.
Al no reconocer el 100% de los dineros públicos nos encontramos frente a un abuso del Derecho por parte del extremo dominante de la relación económica (…)”. Suma ascendente a los $446.503.615. Como sustento fáctico de sus aspiraciones, el mandatario del promotor esgrimió que el Municipio de Machetá tiene a su nombre distintas cuentas de ahorro en la entidad financiera convocada, donde deposita y da manejo a varios rubros de los recursos públicos, de las cuales se vieron Verbal 11001-31-99-003-2022-04832-01 de Municipio de Machetá Cundinamarca Banco Agrario de Colombia afectadas las identificadas con los números: 431463003441, 431463003409, 431463003425 y 431463003433 Afirmó que el 19 de abril de 2021, la Secretaria de Hacienda de la municipalidad advirtió inconsistencias en una de las cuentas, y al verificar todas las demás encontró las siguientes transferencias electrónicas que no se habían autorizado: - Cuenta de ahorros No. 431463003441, la entidad financiera BANCO AGRARIO DE COLOMBIA reportó dos (2) transferencias el 19 de abril de 2021 por $26.232.000 no autorizadas oficialmente. - Cuenta de ahorros No. 4314630003409, la entidad financiera BANCO AGRARIO DE COLOMBIA reportó (14) transferencias bancarias los días 16 y 19 de abril de 2021, no autorizadas oficialmente por un valor de $183.600.000. - Cuenta de ahorros No. 4314630003425 la entidad financiera BANCO AGRARIO DE COLOMBIA reportó sesenta y cuatro (64) transferencias bancarias e interbancarias realizadas los días 08, 09, 12, 13, 15 y 16 de abril de 2021 no autorizadas oficialmente por un valor de $840.523.920. - Cuenta de ahorros No. 431463003433 de la entidad financiera BANCO AGRARIO DE COLOMBIA reportó doce (12) transferencias bancarias e interbancarias realizadas los días 07 y 08 de abril de 2021, no autorizadas oficialmente, por un valor de $151.830.000.
El mismo día en que se evidenció el fraude, el ente territorial instauró la denuncia correspondiente y solicitó las explicaciones del caso a la entidad bancaria, la cual le comunicó que cada operación bancaria fue realizada por autorización de los usuarios María Alejandra Penagos Barreto y Rafael Mauricio Forero Briceño, quienes fungían como tesorera y alcalde de la administración municipal en el periodo 2016–2019.
Historió que, luego de distintas reuniones, PQRS y denuncias instauradas, el 31 de enero de 2022 el banco reintegró un total de $663.906.778 correspondiente al 60% de los rubros extraídos, asimismo, recibió la suma de $6.951.364, por los rendimientos generados; sin embargo, el Banco Agrario de Colombia manifestó expresamente no responder por el 2 Verbal 11001-31-99-003-2022-04832-01 de Municipio de Machetá Cundinamarca Banco Agrario de Colombia restante 40% de los dineros públicos hurtados, desconociendo la obligación de diligencia y profesionalismo por la actividad económica y social que ejerce, al ser evidentes las fallas de seguridad en el sistema bancario por el no bloqueo de la cuenta por la realización de las operaciones inusuales, atendiendo que fueron 92 transacciones. 2.
Vinculada formalmente, la sociedad llamada a juicio se opuso a las pretensiones de la demanda, formulando las excepciones de mérito rotuladas: “HECHO DE LA VÍCTIMA COMO CAUSA EXCLUSIVA DEL DAÑO Y EXIMENTE DE RESPONSABILIDAD DEL BANCO AGRARIO DE COLOMBIA, LAS OPERACIONES DESCONOCIDAS SE ENCUENTRAN AJUSTADAS AL PERFIL TRANSACCIONAL DEL MUNICIPIO DE MACHETÁ RESPECTO DEL USO Y MANEJO DE LAS CUENTAS DE AHORROS, DILIGENCIA DEL BANCO AGRARIO DE COLOMBIA Y CUMPLIMIENTO DE SUS DEBERES PROFESIONALES e INEXISTENCIA DE RESPONSABILIDAD DE BANCO AGRARIO DE COLOMBIA EN LOS HECHOS QUE SUSTENTAN LAS PRETENSIONES DE LA DEMANDA POR AUSENCIA DE NEXO DE CAUSALIDAD”.
II. LA SENTENCIA APELADA Agotada la ritualidad correspondiente para esta clase de asuntos, la a quo dictó sentencia en la que dispuso el fracaso de las excepciones planteadas y, por contera, accedió a las pretensiones del impulsor de esta contienda, declarando “(…) contractualmente responsable al BANCO AGRARIO DE COLOMBIA S.A (…) de los perjuicios sufridos por el MUNICIPIO DE MACHETÁ – CUNDINAMARCA, respecto de las operaciones cursadas con cargo a las cuentas de ahorros terminadas en ***3441, ***3409, ***3425 y ***3433 en un valor de $446.503.615 (…)” y en consecuencia, condenó a la demandada a pagar, dentro de los 15 días siguientes a la fecha de ejecutoria de la decisión, “(…) la suma de $446.503.615 correspondientes al 40% del valor sustraído en las operaciones objeto de controversia junto con los cargos por GMF y comisiones generadas por dicho importe, (…) sobre este valor de capital se generarán intereses moratorios a la tasa máxima legal permitida”, tras considerar lo que a continuación pasa a expresarse.
Luego de conceptualizar la acción promovida y establecer los estándares de diligencia de las entidades financieras frente a la ejecución de la precaución e información dispuestas para salvaguardar tanto el interés 3 Verbal 11001-31-99-003-2022-04832-01 de Municipio de Machetá Cundinamarca Banco Agrario de Colombia general que comporta su actividad como el ahorro del público, recordó que las medidas encomendadas componen un conjunto de derechos de los consumidores financieros que se encuentran vigentes durante todos los momentos de la relación contractual con la entidad vigilada, según lo establece el artículo 5. de la Ley 1328 del año 2009.
Asimismo, rememoró que el ejercicio de la actividad financiera conlleva implícitamente que la entidad vigilada por esa superintendencia cumpla con los deberes especiales exigibles y asuma los riesgos inherentes a los diferentes canales puestos a disposición de sus clientes para el manejo de los productos y servicios ofrecidos, mismos originados en la actividad prestada de manera profesional y masiva, aunado al beneficio correlativo percibido por la prestación de sus servicios.
Lo anterior, no implica que el consumidor financiero esté autorizado ni le sea permitido incumplir, descuidar, desatender o desconocer las obligaciones que paralelamente le asisten, aspecto abordado en el canon 6. de la prenombrada norma, que prevé como buena práctica protección propia al consumidor financiero, observar las instrucciones y recomendaciones impartidas por la entidad vigilada sobre el manejo de productos o servicios financieros, sin perjuicio del cumplimiento de las obligaciones especiales, pactadas en el respectivo contrato, siempre y cuando ellas no correspondan a cláusulas abusivas limitantes o restrictivas de los derechos del consumidor.
Manifestaciones que, a tono con la jurisprudencia de la Corte Suprema de Justicia, revelan que el deber del banco es de resultado y no de medio; luego, la entidad financiera no puede exonerarse solo por haber probado actuar de manera diligente, aclarando que, en todo caso, podría eximirse si demuestra el acaecimiento de una causa extraña que impida que el daño pueda imputársele jurídicamente, pues aún en los regímenes objetivos es necesario mostrar la atribución del hecho dañoso a la conducta del agente; en esos casos, el banco podrá relevarse de la carga indemnizatoria endilgada, probando que las circunstancias originadoras del desmedro patrimonial, como la alteración de una orden de giro no le son imputables. 4 Verbal 11001-31-99-003-2022-04832-01 de Municipio de Machetá Cundinamarca Banco Agrario de Colombia Acto seguido, reseñó que en el asunto examinado, el señor alcalde accionante informó que “al inicio de su administración, para el mes de enero de 2020, notificaron al Banco Agrario sobre las personas autorizadas para transar con las cuentas del municipio, esto es, la Secretaria de Hacienda, la señora Lina María Novoa Torres como usuario administrador y él en su calidad de alcalde como usuario auditor”; asimismo, esta funcionaria testificó desconocer “(…) que existieran para esa fecha otros usuarios activos, toda vez que al momento de estar en el cargo en la Secretaría de Hacienda del municipio, le comunicaron al Banco Agrario que ella y el nuevo alcalde eran las personas autorizadas para el manejo de las cuentas”.
De donde pudo colegir que solo hasta el 19 de abril de 2021, fue cuando la parte actora pudo advertir las operaciones desconocidas y, al indagar, encontró que el banco no había cumplido con la instrucción de actualizar los datos de notificación a la entidad contrariando “(…) lo dispuesto en el numeral 5.3. del reglamento de contrato depósito de ahorro, que establece que el titular se obliga a notificar al Banco oportunamente y en la forma o por los medios establecidos y cualquier cambio en la información que permita la ubicación y evaluación financiera, asimismo, encontrándose entre las funciones del usuario administrador y de conformidad con el manual antes citado, las recomendaciones remitidas a la alcaldía en misiva del 14 de enero de 2020, no se gestionaron los usuarios que iban a operar por el canal, manteniéndose habilitados usuarios generados para administraciones anteriores (…)”.
Sobre esta última carta, resaltó que se trata de un formulario “documento, formato, inscripción y/o novedades, Internet, banca virtual, persona jurídica”, del que se puede verificar, es “generado directamente por el Banco Agrario y allí se señala lo siguiente: se indica fecha de diligenciamiento, ciudad, nombre de la oficina y tipo de trámite”; documento diligenciado con la “(…) razón social: municipio de Machetá; nombre del representante legal: Julio Solano Cárdenas Garzón, allí se indica su número de cédula.
Y, asimismo, se indica el número telefónico o número de teléfono celular del representante legal: 3138854772. De igual manera, allí se indica que los datos del correo electrónico del usuario de la empresa es cardenassolano@hotmail.com y como lo indicaba su número de celular usuario auditor 3138854772, también allí aparece que los datos del usuario administrador de esa Internet banca virtual de persona jurídica, es la señora Lina María Novoa Torres, se indica allí su número de identificación y se indica el correo del usuario administrador linamaria05@yahoo.es y el número de celular: 3124132906 y tiene impuesto allí el sello código de barras, formato, inscripción y novedades (…)”, todo 5 Verbal 11001-31-99-003-2022-04832-01 de Municipio de Machetá Cundinamarca Banco Agrario de Colombia debidamente rubricado por el Alcalde y el usuario administrador, con los respectivos sellos de procesamiento por parte del banco, revisado y autorizado, por Johnny Alexander García Beltrán e Hilda Muñoz Rubiano. Circunstancias que demuestran que, “(…) este formato hacía referencia, en efecto, a modificaciones, creación, cambio usuario administrador de la banca virtual del municipio de Machetá en las cuentas o en los productos de que tenía dicho municipio en el Banco Agrario de Colombia [y] es claro que con esta información, que además cuenta con la firma y sellos de revisado y procesado por los funcionarios del Banco, se informó o se le daba información al Banco Agrario de Colombia de los cambios que se daban en el usuario administrador y más allá de que se indique que, en efecto, no se realizó un bloqueo directamente por parte del municipio, también obra en el expediente ante el requerimiento o ante documental que fue aportada por la testigo, la señora Lina Novoa (…), un correo de fecha (…) 21 de abril del año 2021, con posterioridad a las operaciones [donde] se señala que en las notificaciones que la tesorera allega a la oficina, se encuentra el nombre de la tesorera anterior, María Alejandra Penagos Barreto como originador y el alcalde anterior Rafael Mauricio Forero Briceño. Estos usuarios se bloquearon cuando se realizó el cambio de funcionarios en la nueva administración el día 15 de enero del año 2020”, documental suscrita por los funcionarios de municipio y del banco, en la que claramente constan los nuevos correos para el nuevo auditor y administrador, sin elevarse comunicación alguna para no atender semejante solicitud; es más, en esos correos y números telefónicos informados se recibían comúnmente las notificaciones de las transacciones bancarias y de los tokens para efectuarlas.
En ese orden de ideas, como la señora Lina Novoa “(…) realizaba o tenía a su cargo y manejaba tanto claves, usuarios y token de ella como usuario administrador, como el usuario auditor, encuentra el despacho aquí acreditado un incumplimiento del municipio en el marco de sus obligaciones contractuales”. Resuelto lo anterior, se dispuso a determinar si la conducta de la parte actora constituía la causa única, exclusiva y determinante del daño experimentado por la misma, para lo cual, fue menester analizar el comportamiento de la demandada frente a las obligaciones a su cargo, en la medida que la desatención propia de los consumidores financieros no exime a 6 Verbal 11001-31-99-003-2022-04832-01 de Municipio de Machetá Cundinamarca Banco Agrario de Colombia las entidades financieras de cumplir las obligaciones que paralelamente les asisten, según el parágrafo 1., artículo 6. de la Ley 1328 del año 2009.
De cara al cumplimiento de los requerimientos dados por el capítulo primero, del título segundo, en la parte primera de la Circular Básica Jurídica, así como el título tercero, parte primera del mismo capítulo, encontró inconsistencias en los alertamientos generados por los movimientos en cada cuenta y las gestiones desplegadas por el banco: Desde la primera operación que tuvo lugar el 7 de abril del año 2021 a las 15:19 por valor de $13.400.000, se generó alertamiento en el sistema de monitoreo del Banco y que a las 15:27 se remitió correo a la dirección, tesoreia@macheta-cundinamarca.gov.co, frente a lo cual en correo que reposa también ha derivado 51 anexo 8, se indica que existió un error en la digitación del correo de contacto en la plataforma del Banco y en el informe de seguridad que reposa derivado 049 se indica que el Banco había registrado en sus sistemas de manera equivocada la dirección prevista para el efecto, por lo que nunca fueron entregados satisfactoriamente los correos remitidos, lo cual fue reiterado por el representante legal del Banco Agrario de Colombia (…).
También es importante señalar que de esos alertamientos generados por el sistema de monitoreo del Banco y de comunicaciones del call center, señala el Banco, no fueron atendidas, es decir, dichas operaciones no pudieron ser confirmadas de manera oportuna ese curso de esas operaciones ajenas a los hábitos de la entidad demandante, y es que así lo expuso el mismo representante de la entidad financiera demandada (…)”, quien manifestó que “las operaciones eran sospechosas, que se alejaban del perfil y que el sistema del Banco sí generó una alerta y que se trató de comunicar con el celular de la señora Penagos que estaba registrado y nunca se tuvo respuesta positiva”, en cuanto al e-mail “dice que había un error en la digitación en el correo donde se envió la información y no pudo ser efectivo, [aunque] también [se llamó] a otros números, (…) no fue posible el contacto o la confirmación de estas operaciones luego del alertamiento generado por el sistema (…).
De modo que, ante tal situación y de conformidad con esos requerimientos mínimos de seguridad, encontró transgredidos los deberes de información de la entidad para proceder al bloqueo del canal cuando aparecen operaciones que generan alertamiento tanto por monto, como por frecuencia reconocidas en el informe de seguridad, de acuerdo con el perfil transaccional del cliente.
De ahí que las 92 transacciones fueron alertadas por reglas de 7 Verbal 11001-31-99-003-2022-04832-01 de Municipio de Machetá Cundinamarca Banco Agrario de Colombia frecuencia y monto; sin embargo, el bloqueo no tuvo lugar, desconociendo los mandatos de la Circular Básica Jurídica que exigía a las entidades vigiladas, cuando lo amerite, proceder con el bloqueo del producto permitiendo que, pese a las inconsistencias y alertamientos presentados, se generaran todas las operaciones inusuales.
Adicionalmente, resaltó la falencia presentada en el informe de seguridad mencionado, en cuanto a los números de celulares a los que fueron remitidos los tókenes para el ingreso y transacciones. “El número de celular 3226382977 fue registrado para los días 7 y 12 de abril de 2021 a los usuarios originador51 y autorizador81 quienes recibieron en este medio configurado las notificaciones de los token (sic), códigos de ingreso los días 7-8-9-12-13-14-15-16 y 19 de abril de 2019 para poder realizar las operaciones de transferencia que no reconoce el cliente reclamante”, abonado telefónico que, según el aludido reporte, también se encuentra vinculado a otros 7 usuarios de la banca virtual, diferentes al municipio de Machetá, y que está relacionado con otras reclamaciones, sin poderse establecer cómo se registró dicha información, encontrando que el banco accionado remitió los tókenes a una línea que no guardaba relación con la demandante.
Evidencias que dejaron al descubierto el incumplimiento a las obligaciones de seguridad del banco enjuiciado frente a las operaciones cuestionadas en el caso concreto, las cuales, nutren el contenido obligacional del respectivo negocio jurídico. Finalmente, se adentró en el análisis del nexo de causalidad entre los incumplimientos referidos y el daño causado.
Para lo cual, ultimó que, si bien se acreditó una infracción del consumidor, por cuanto la señora Lina Novoa era quien realizaba tanto las operaciones que le correspondían al usuario originador o auditor, que era el alcalde, y las funciones de ella como usuario administrador, la cual tenía en su poder tanto los usuarios, claves y tókenes de ambos; cierto es que no hubo una actualización de los datos de contacto o que no se inhabilitaron los usuarios en el portal que correspondían a usuarios de administraciones anteriores, según las directrices impartidas por el municipio. 8 Verbal 11001-31-99-003-2022-04832-01 de Municipio de Machetá Cundinamarca Banco Agrario de Colombia Aunado a ello, el permitir la vinculación de una línea a varios usuarios, así como la remisión de elementos transaccionales (token) a un número no registrado para el municipio, involucrado en otros fraudes presentados para el 7 de abril del año 2021, o la decisión adoptada por la gerencia de ventas frente al no bloqueo de canales pese a la falta de contacto con el titular, en contravía de los requisitos mínimos de seguridad y calidad exigibles a la entidad; se muestran como causa eficiente del perjuicio o detrimento patrimonial al demandante, sin que se presente concurrencia de culpas en la causación de este, pues el incumplimiento de la entidad bancaria fue la causa directa del daño, porque de haber cumplido con lo requerido en la normatividad, especialmente su deber de diligencia como profesional de la actividad que le fue autorizada, hubiera evitado la realización de todas las operaciones monetarias objeto del litigio.
III. LA IMPUGNACIÓN 1. Inconforme con tal determinación, en la oportunidad de que trata el inciso 1. del numeral 1. del artículo 322 del Código General del Proceso, la apoderada de la parte accionada interpuso recurso de apelación, exteriorizando sus reparos conforme lo señalado en el inciso 2. del numeral 3. de esa norma, mismos que reprodujo y desarrolló en la fase procedimental contemplada en el artículo 12 de la Ley 2213 de 2022, con fundamento en los argumentos que se compendian a continuación. 1.1.
Censuró en primera medida que se hubiera señalado que las actuaciones del banco fueron las únicas que incidieron en la producción del daño, porque no actualizó y bloqueó los usuarios asignados para el manejo de la Banca Virtual, según las directrices del Municipio de Machetá. Refirió que, se desconoció el funcionamiento de la Banca Virtual, el cual fue detallado en las pruebas allegadas al proceso, donde se informa que “(…) si bien el 20 de enero del 2020 el Municipio actualizó la información del usuario administrador de la BV, ello no implicaba la actualización de toda la información de los usuarios activos en el canal digital, sino que le correspondía al administrador excluir los perfiles que ya no tuvieran autorización para el manejo de la banca”. 9 Verbal 11001-31-99-003-2022-04832-01 de Municipio de Machetá Cundinamarca Banco Agrario de Colombia Seguidamente explicó los pasos que debe adelantar el usuario para generar un administrador de la cuenta para su uso por medios virtuales, mediante el formulario “CN-FT-007 Formato de inscripción y/o novedades internet Banca Virtual Persona Jurídica”, y aprobada la gestión por la Gerencia de Canales y Oficinas, es el mismo beneficiario quien puede crear, modificar y eliminar los usuarios que tenían, tienen o tendrán acceso a la plataforma.
Al momento de realizar las transacciones cuestionadas era un total de 13 autorizados; de igual manera, el “(…) Municipio es el responsable de parametrizar la Banca Virtual, en caso de que se requiera que tenga horarios específicos de funcionamiento, límites de transferencias, IP’s fijas, entre otros”. Las transacciones desconocidas por la parte actora, se realizaron de la siguiente manera: • Un primer usuario que crea o genera la transacción: Usuario: “Originador51” (creó las 92 transacciones motivo de reclamo) Nombre: María Alejandra Penagos Barreto Fecha de creación del usuario: 09/05/2018 11:51:22 am Perfil: Originador Correo electrónico que aparece registrado en el Log: tesoreria@macheta-cundinamarca.gov.co.
Celular que aparece registrado en el Log: 3137577640. • Un segundo usuario que autoriza la transacción: Usuario: “Autorizador81” (autorizó las 92 transacciones que se reclaman) Nombre: Rafael Mauricio Forero Briceño Fecha de creación del usuario: 09/05/2018 11:25:48 pm Perfil: Autorizador Correo electrónico que aparece registrado en el Log: tesoreria@macheta-cundinamarca.gov.co.
Celular que aparece registrado en el Log: 3137577640. Dijo que en la plataforma virtual estaban establecidas las funciones de cada rol, en este caso, el administrador es el único que aprueba el banco sin interferir en los demás usuarios creados por cada cliente para realizar las operaciones con el producto, por tratarse de un tema de autonomía y seguridad.
Es así como, según el informe de seguridad, el administrador al ingresar a la banca puede verificar cuáles son todos los usuarios inscritos, a quiénes podía bloquear, eliminar, desactivar o simplemente restringir el acceso. Es decir, pese a que el municipio actualizó los datos del administrador, no eliminó las personas activas, carga que era de este y no del banco como 10 Verbal 11001-31-99-003-2022-04832-01 de Municipio de Machetá Cundinamarca Banco Agrario de Colombia erradamente lo concluyó la a quo, por lo que mal podría predicarse algún incumplimiento en los deberes de la entidad financiera. 1.2.
Reprochó que la falladora haya atribuido al Banco toda la responsabilidad del daño que sufrió el municipio de Machetá, por el contrario, este último “(…) incumplió con sus deberes como consumidor financiero en lo que se relaciona con la actualización de su información de contacto ante el Banco, pues como se evidencia en el log transaccional, quienes realizaron las operaciones virtuales, motivo de cuestionamiento, fueron usuarios que, estaban autorizados para transar en la Banca Virtual por el Municipio de Machetá, de modo que, se tiene que las operaciones obedecen a prácticas inseguras y manejo inadecuado del canal electrónico, circunstancias de alto riesgo (…)”.
Adujo que, todas las transacciones cuestionadas fueron notificadas tempranamente al abonado telefónico 3214579640 a través de mensajes SMS y al Correo electrónico: tesoreria@macheta-cundinamarca.gov.co, registrados por los usuarios originador y autorizador que transaron las operaciones, siendo confusas las razones por las que el afectado no reportó el supuesto fraude desde el 7 de abril de 2021, fecha en que se realizaron las primeras transferencias; quedando demostrado, además, que en la investigación efectuada por el banco, la Secretaria de Hacienda manifestó que “El número de teléfono pertenecía a la alcaldía, aunque actualmente no se cuenta con esta línea activa, porque en la actualidad, el número que está en uso es el 3225130899” y al indagar por las razones expresó “El 19 de marzo se incluyó la nueva línea, pero no se actualizó porque las notificaciones para ingresar a la plataforma y de transacciones realizadas llegaban al correo y teléfono personal”.
Adicionalmente, quedó demostrado otro incumplimiento por parte del Municipio, en tanto la señora Lina Novoa tenía a su cargo o manejaba los usuarios y claves de ella, como usuario administrador, así como del usuario auditor, lo cual transgrede las condiciones pactadas contractualmente respecto de la custodia de los elementos transaccionales, pone en evidencia el poco cuidado que tenían los funcionarios de Machetá para administrar y custodiar la información sensible, y la omisión de las prácticas mínimas de autocuidado que les son exigibles en su calidad de consumidores. 11 Verbal 11001-31-99-003-2022-04832-01 de Municipio de Machetá Cundinamarca Banco Agrario de Colombia De otro lado, trajo a colación precedentes jurisprudenciales con el propósito de recordar que la Corte Suprema de Justicia “(…) ha establecido que frente a los litigios donde se discute la responsabilidad civil de las entidades bancarias por la pérdida de los recursos de sus clientes, no se puede omitir valorar la conducta desplegada por cada una de estas, verificando si cada una contribuyó al resultado dañoso, entrando en el terreno de la ‘compensación de culpas’, según la cual, la conducta de quien se reconoce como víctima influyó o intervino en el daño que se configuró (…)”, que fue lo que finalmente ocurrió en este caso y debe darse aplicación, pues el municipio no actualizó el número de celular dispuesto para recibir notificaciones, menos, los datos de los usuarios autorizados para realizar operaciones.
Asimismo, la señora Lina Novoa tenía a su cargo o manejaba los usuarios y claves tanto de ella, como usuario administrador, así como del usuario auditor. 1.3. Finalmente, alegó una indebida valoración con relación al cumplimiento de los deberes legales y contractuales del Banco, en la medida que dispuso para el uso del Municipio de Machetá, el acceso al canal virtual para realizar transacciones de forma segura, por lo cual, para su ingreso, implementó una serie de validaciones correspondientes al conocimiento del usuario y clave secreta para su utilización. En este caso concreto, todas las actividades desconocidas por “el Municipio cursaron superando todos los mecanismos de seguridad previstos para su ejecución, ingresando a la Banca Virtual con el usuario y clave que solamente debían conocer y administrar los funcionarios del ente territorial, de acuerdo con su nivel de autorización, es decir, que el Banco sí cumplió frente a los requisitos de seguridad que le son exigibles en su calidad de profesional en la actividad bancaria”, aunado a que notificó vía SMS y correo electrónico la ejecución de las operaciones, para lo cual remitió mensajes al número de celular registrado por el municipio para recibir esta información y a su e-mail el token de las 92 transacciones. 2.
Al descorrer el traslado del recurso impetrado por el extremo pasivo, el apoderado de Machetá, de un lado, mantuvo una postura diferente a la tesis impugnativa de su contraparte, insistiendo en que había cumplido con el nivel de diligencia de informar al banco agrario sobre quiénes eran los únicos usuarios autorizados para realizar las transacciones, en este caso, el alcalde y la secretaria de hacienda, aclarando que las modificaciones de banca 12 Verbal 11001-31-99-003-2022-04832-01 de Municipio de Machetá Cundinamarca Banco Agrario de Colombia virtual se hacen a través de un formato de novedades el cual es generado por el Banco Agrario y no era potestad exclusiva del ente territorial, por lo que al notificar sobre la situación de cambio de titulares era carga de la entidad financiera modificar la información, pero al parecer nunca ocurrió. Agregó que, no fue a través de los usuarios debidamente autorizados mediante la novedad presentada al banco que se realizaron las operaciones fraudulentas, es así que la causa eficiente por la cual se produce este hurto se debió a un error evidente de Banagrario, que no parametriza las novedades para que solo las personas autorizadas puedan hacer las operaciones a través de la banca virtual, situación que al parecer conocían los que efectuaron las transacciones, además, notificaban a teléfonos que estaban fuera de línea, poniendo de presente la falla de la entidad.
De otro lado, trajo a colación el hecho de que una empresa de seguros se hizo parte como víctima en el proceso penal que investiga esta conducta delictuosa, escenario penal donde se manifestó que el Banco Agrario recibió un monto superior a los $1.000.000.000, por los dineros sustraídos, circunstancia demostrativa de la mala fe con la que está actuando la entidad financiera.
IV. CONSIDERACIONES 1. Encontrándose reunidos los presupuestos procesales y no advirtiéndose vicio que invalide la actuación, se hace necesario anotar, de manera preliminar, que esta Sala se circunscribirá a examinar, exclusivamente, los motivos de desacuerdo demarcados por el apelante, acatando los lineamientos del inciso 1º de los cánones 320 y 328 del Código General del Proceso; quedando al margen de su escrutinio decisorio la existencia del contrato de vinculación bancaria entre las partes y las 92 transacciones desconocidas realizadas desde las cuentas de ahorros que el municipio tiene a su nombre en la entidad demandada, identificadas con los Nos. 431463003441, 4314630003409, 4314630003425 y 431463003433, los días 7, 8, 9, 12, 13, 15, 16 y 19 de abril de 2021, por un valor total de $1.202.185.920, por no ser objeto de impugnación, así como quedó establecido en primera instancia en la fase de fijación del litigio. 13 Verbal 11001-31-99-003-2022-04832-01 de Municipio de Machetá Cundinamarca Banco Agrario de Colombia 2.
En primera medida, comporta anotar que el artículo 78 de la Carta Política protege los derechos del Consumidor, que en materia financiera es definido como “todo cliente, usuario, o cliente potencial de las entidades vigiladas”, de conformidad con el artículo 2, liberal d) de la Ley 1328 de 2009, disposición legal que “(…) al consagrar la definición de consumidor financiero, no hizo cosa diferente que enfocar la noción cardinal de consumidor, a los sujetos eventuales o potenciales de bienes y servicios que ofrecen las entidades de los sectores bancario, financiero, asegurador y de valores, vigiladas por la Superintendencia Financiera, conforme al mercado en el que participan, en calidad de productor/proveedor (entidades vigiladas) y consumidor (cliente o usuario), propio de la actividad económica que protege la Constitución, pero con las connotaciones ya esbozadas en acápites anteriores.
Sin embargo, los componentes de desigualdad y asimetría, advertidos por [la Corte Constitucional] en punto a los extremos de negocios, con fundamento en los postulados del artículo 78 superior, no suponen una aplicación diferenciada frente al consumidor nato o al calificado, como para entender excluidos de la noción de consumidor, a actores de una u otra condición o característica, por eventuales supuestos de igualdad y/o correspondencia en la relación de consumo, dado que lo que importa y trasciende no es exactamente esa condición o característica, sino el reconocimiento que ha dado el derecho constitucional de las hondas desigualdades o desequilibrios inmanentes al mercado y al consumo en las diversas actividades económicas, a partir de la mencionada relación productor/proveedor - consumidor o usuario”1.
En ese orden, debe tenerse en cuenta la naturaleza profesional y el servicio público que ejerce la depositaria, que “hacen superlativo el deber de cuidado que se exige de las entidades financieras, las cuales, de antemano, ya están obligadas a desarrollar sus actividades con especial prudencia y diligencia, pues (…) “hoy nadie discute la importancia social y económica que tienen las empresas dedicadas al manejo y aprovechamiento de los recursos provenientes del ahorro privado, al punto que, de tiempo atrás, el manejo del ahorro es una verdadera palanca del crecimiento económico que ha sido considerada de interés público, justamente porque trasciende la esfera privada de las empresas que intervienen en las operaciones de captación y de colocación de los recursos del público (…).
Esa circunstancia, impone a las instituciones financieras el deber de actuar con un grado especial de diligencia en el desarrollo de las operaciones comerciales que constituyen su objeto social, pues la infracción de una cualquiera de las normas legales o 1 CC. Sentencia C-909/12 14 Verbal 11001-31-99-003-2022-04832-01 de Municipio de Machetá Cundinamarca Banco Agrario de Colombia estatutarias llamadas a gobernarlas, no sólo puede repercutir en el patrimonio de las personas directamente vinculadas a la respectiva operación de crédito, sea ella activa o pasiva, sino también en el de terceros que, por rebote, pueden resultar afectados por la desatención de dichos establecimientos en el cumplimiento de los deberes y de las obligaciones que les son propias, pues toda práctica insegura afecta no sólo a los accionistas de la entidad financiera sino a los ahorradores y la credibilidad de un sistema basado en la confianza”2.
El memorado deber de cuidado se extrema cuando el banco, en cumplimiento del artículo 7, literal i. de la Ley 1328 de 2009, entre otras normativas, pone a disposición del consumidor financiero medios electrónicos para la realización de operaciones legalmente autorizadas y la ejecución de actividades conexas a estas, circunstancia de donde surge la obligación a cargo de la entidad crediticia, de aumentar las alertas y controles que permitan garantizar el correcto manejo de los productos y servicios suministrados a sus clientes y usuarios.
Frente a esa suma diligencia reclamada a los bancos, al consumidor financiero, de manera correlativa a sus derechos (art. 5 ídem), también le es exigible un actuar cuidadoso en sus relaciones con las entidades de crédito, por lo que deben adoptar prácticas de protección propias para la óptima administración de los productos o servicios proporcionados por aquellas (art. 5 ejusdem), tales como observar las instrucciones y recomendaciones que se le imparta sobre el manejo de los mismos, así como resguardo de toda información sensible, relacionada, fundamentalmente, con los elementos de autenticación necesarios para acceder a sucursales virtuales y realizar transacciones a través de medios electrónicos, etc.
Por la misma línea explicativa, no está de más destacar que la jurisprudencia de vieja data tiene decantado que tratándose de recursos oficiales, manejados por los servidores públicos, el ordenamiento jurídico nacional dispone una serie de procedimientos de planeación, contratación y ejecución, pues el manejo del erario involucra el interés general, por cuanto, además de ser un aporte de todos los contribuyentes, su destinación implica el cumplimiento de los fines del Estado 3; condición que sujeta la gestión de 2 3 CSJ. sentencia del 3 de agosto de 2004, Expediente No. 7447.
Corte Constitucional, Sentencia C-127/03. 15 Verbal 11001-31-99-003-2022-04832-01 de Municipio de Machetá Cundinamarca Banco Agrario de Colombia tales recursos al control fiscal asignado constitucionalmente a la Contraloría General de la República4, comoquiera que el patrimonio público, entendido como derecho colectivo, resulta afectado no solo porque los dineros estatales se destinen a gastos diferentes a los expresamente señalados en las normas jurídicas, sino, también, por la negligente o ineficiente administración de los mismos5. 3.
Realizadas las anteriores precisiones de orden legal y jurisprudencial, en el caso de marras se tiene que la médula del debate puesto en consideración del Tribunal, radica en establecer si, en realidad, los perjuicios ocasionados al Municipio de Machetá, Cundinamarca, con las 92 transferencias no reconocidas por este, efectuadas los días 7, 8, 9, 12, 13, 15, 16 y 19 de abril de 2021, se derivaron del comportamiento exclusivo de la parte enjuiciada y no por la conducta culposa de aquel o con su colaboración, al inobservar sus obligaciones contractuales y los requerimientos de seguridad transaccional para la utilización del canal virtual de la entidad financiera accionada. 4.
Delimitado de esta forma el escenario controversial, es menester insistir en que la actividad financiera, por su importancia en el “orden social y económico, justifica el establecimiento de controles y políticas restrictivas en su desarrollo, amén de llevar ínsita la exigencia para las instituciones financieras de un mayor grado de diligencia y profesionalismo, porque la actividad que desarrollan además de profesional, tiene los rasgos de ser habitual, masiva y lucrativa, requiere de una organización para ejecutarla y del conocimiento experto y singular sobre las operaciones que comprende, así como de los productos y servicios que ofrece al público, razón por la cual los estándares de calidad, seguridad y eficiencia que se le reclaman, son más altos que los exigidos a un comerciante cualquiera”6.
Noción de la que, por supuesto, no implica la ineludible responsabilidad del banco, en tanto que nada obsta para que la entidad financiera (con miras a exonerarse) acredite su propia diligencia, la culpa exclusiva del cuentahabiente, la ocurrencia de una causa extraña o la concurrencia de culpas, como lo planteó el apelante. Por lo que no es el Corte Constitucional, Sentencia C-543/01.
Consejo de Estado. Sala de lo Contencioso Administrativo. Sección Tercera. Decisión de 8 de junio de 2011. Rad. 25000-23-26-000-2005-01330-01(AP). 6 CSJ, sent. de 19 de diciembre de 2016, exp.: 2008-00312. 4 5 16 Verbal 11001-31-99-003-2022-04832-01 de Municipio de Machetá Cundinamarca Banco Agrario de Colombia demandante al que le toca probar la negligencia del establecimiento, sino que es a este a quien le incumbe acreditar que actuó con diligencia en orden al principio de la carga dinámica de la prueba, que hace efectiva la igualdad de las partes en el proceso, en el entendido de que quien está en mejores condiciones de probar un hecho asuma el deber de demostrarlo. 5.
En ese contexto, prontamente se advierte que, en el asunto examinado, así como al Municipio de Machetá y al Banco Agrario de Colombia les asistía el deber de custodiar y manejar, con suma diligencia, los recursos públicos depositados en las cuentas bancarias defraudadas, lo cierto es que los elementos probatorios revelan, con alto grado de certeza, que la entidad financiera desatendió esa obligación. 5.1.
En primer lugar, el extremo apelante insiste en que fue la actora quien despreció sus deberes como consumidor financiero, al no actualizar los usuarios de la banca virtual, eliminando aquellas personas que ya no hacían parte de la administración municipal, quienes no tenían ninguna autorización para continuar con el manejo de las cuentas de la entidad, ocasionando la materialización de las transacciones fraudulentas a través de los usuarios debidamente registrados por la Alcaldía de Machetá, cuyas notificaciones y tókenes también se enviaron a los números de contacto y correo inscritos en la banca, esto es, por el “usuario ‘Originador51’ a nombre de María Alejandra Penagos Barreto, quien, origina/crea las (92) transferencias, y luego, usuario ‘Autorizador81’ a nombre de Rafael Mauricio Forero Briceño, quien, las autoriza”.
Al respecto, de acuerdo con el contenido del informe Acta de Evaluación de Investigaciones y Decisiones por Fraude, emitido por la Vicepresidencia Administrativa -Gerencia de Seguridad Bancaria y Prevención del Fraude- del Banco Agrario de Colombia (informe de seguridad), expedido con ocasión a los hechos que atañen a este proceso, se dijo que el día 3 de enero de 2020, luego de iniciar el periodo de gobierno del nuevo alcalde de Machetá, Julio Solano Cárdenas Garzón, este funcionario electo presentó ante el banco una solicitud indicando: “La presente con el fin de solicitar el cambio de firmas de las cuentas bancarias tipo corriente y de ahorros quien es titular el MUNICIPIO DE MACHETA identificado con el NIT numero: 899.999.401-1, igualmente 17 Verbal 11001-31-99-003-2022-04832-01 de Municipio de Machetá Cundinamarca Banco Agrario de Colombia habilitar la banca virtual debido a que se presentó cambio de Administración Municipal, las cuentas bancarias serán manejadas por JULIO SOLANO CÁRDENAS GARZÓN alcalde Municipal identificado con cedula número 79.315.005 de Bogotá y LINA MARÍA NOVOA TORRES Secretaria de Hacienda identificada con cedula número 23.624.218 de Guateque”.
A su turno, el día 15 de enero siguiente, se radicó el formulario CN-FT-007 expedido por la entidad bancaria en el que se precisó: “Yo, JULIO SOLANO CÁRDENAS GARZÓN, de la empresa/entidad a MUNICIPIO DE MACHETÁ, con numero de NIT 899999401-1, autorizo a los siguientes funcionarios como administrador y auditor, de mi organización en la Banca Virtual del Banco Agrario de Colombia”, formato preestablecido por la institución para la “INSCRIPCIÓN Y/O NOVEDADES INTERNET BANCA VIRTUAL PERSONA JURÍDICA”, cuyo trámite solamente permite “creación/cambio de usuario administrador; desbloqueo de usuario administrador y recuperar nombre de usuario administrador”.
Allí se incluyó: como administradora a la secretaria de hacienda, con número de celular 3124132906 y correo electrónico linamaria05@yahoo.es; y como usuario auditor los datos del señor Alcalde, con abonado telefónico 3138854772 y dirección electrónica cardenasolano@hotmail.com. Ahora, no desconoce el Tribunal que según el Manual de Funcionamiento de la plataforma de banca virtual, el administrador inscrito (Lina María Novoa Torres) cuenta con las facultades de “crear, modificar o eliminar” usuarios; no obstante, la realidad de las solicitudes de enero de 2020 es que el ente territorial sí impartió expresas instrucciones de actualización de usuarios, dejando especial claridad en quiénes eran aquellos que, con la nueva administración, iban a tener el dominio y control sobre las cuentas de los recursos del municipio, luego, no comprende esta Sala el motivo de la permanencia de los anteriores.
Máxime, cuando es de absoluto conocimiento del banco la novedad relevante de cambio de representante de la alcaldía, su personal y las implicaciones que esto conlleva, al punto que el representante legal del Banco Agrario de Colombia, al rendir su interrogatorio, reconoció que han sido múltiples y repetitivos los casos de fraude transaccional que se presentan en algunos municipios, cuando se generan este tipo de cambios, por eso la entidad ha adoptado diversas medidas como la remisión de oficios o cartas 18 Verbal 11001-31-99-003-2022-04832-01 de Municipio de Machetá Cundinamarca Banco Agrario de Colombia instructivas con recomendaciones de seguridad referentes a los sistemas y al manejo de la banca virtual, misivas que, por cierto, pese a contener datos importantes para el correcto funcionamiento del aplicativo, así como recomendaciones valiosas de seguridad, ninguna de ellas explica que, a pesar de la inscripción de un nuevo administrador y el cambio de alcalde, necesariamente debían eliminarse los anteriores usuarios transaccionales, mucho menos, sugiere la manera en que se puede realizar esta acción. Y no se diga, como lo sostiene la entidad, que el banco estaba imposibilitado para bloquear usuarios o no contaba con esa potestad, pues según se informó, los perfiles infractores fueron inhabilitados en la acción de contención de fraude que se realizó por el área de monitoreo transaccional el día 19 de abril de 2021.
De igual manera, el ya mencionado informe de seguridad enseña que el día 8 de octubre de 2019, se sostuvo una reunión con la asistencia de colaboradores de las Gerencias de Canales, Servicio al Cliente, Banca Oficial y Gerencia de Seguridad Bancaria del Banco Agrario, para definir, actividades a ejecutar en aras de mitigar el impacto de fraude por el cambio de alcaldes, donde se dispuso que “el 31 de diciembre [de 2019] se bloquearán todos los usuarios de los Municipios.
Para la habilitación de los nuevos usuarios en enero de 2020, las Oficinas deberán asegurar que, en la creación de los clientes oficiales, deben solicitar un número de celular, con el fin de que a través de este se puedan realizar las notificaciones respectivas producto de las operaciones monetarias que realicen a través de la Banca Virtual”, sin que se haya aclarado el motivo por el cual, después de la solicitud elevada por el nuevo alcalde de Machetá, instruyendo que solo él y su secretaria de hacienda manejarían el portal transaccional, se activaron todos los perfiles (incluyendo los de administraciones anteriores); actuar que resta cualquier efecto de la medida de bloqueo implantada, la cual, precisamente, buscaba proteger a la entidad para que las personas ajenas al municipio o ya no pertenezcan a la administración municipal, puedan realizar operaciones a través de la banca virtual empleando sus códigos de usuario.
Llama la atención de este Corporativo que, a lo largo del proceso y en general con la documental aportada, se ha evidenciado la especial importancia prestada por el banco accionado al riesgo de fraude informático 19 Verbal 11001-31-99-003-2022-04832-01 de Municipio de Machetá Cundinamarca Banco Agrario de Colombia de cara a la llegada de los nuevos representantes de los municipios con su cambio de gobierno, por el hecho de que los funcionarios salientes quedan con claves y usuarios habilitados para las transacciones a través de la banca virtual, evento según lo dicho por el representante de Banagrario, es repetitivo y común; pero, al mismo tiempo, no adopta ninguna medida permanente y contundente para deshabilitar esos usos o por lo menos, para socializar la necesidad de hacerlo a través de los nuevos administradores. 5.2.
Otro motivo de alerta que es importante destacar, es, el banco insistentemente asevera que su plataforma de banca virtual cuenta con robustos sistemas de seguridad; además de los datos de usuario convencionales, para realizar cualquier transacción requiere ingresar el token (código de ingreso, clave temporal), el cual es enviado por medio de los métodos de confirmación (SMS o Mail) configurado inicialmente en el registro, que para el caso de ciernes, dice la entidad demandada fue remitido al correo electrónico: tesoreria@macheta-cundinamarca.gov.co y al abonado telefónico 3214579640, pero según la entrevista realizada a Lina María Novoa Torres, el 19 de abril de 2021 “el número de teléfono pertenecía a la alcaldía, aunque actualmente no se cuenta con esta línea activa”, al paso que “el 19 de marzo se incluyó la nueva línea, pero no se actualizó porque las notificaciones para ingresar a la plataforma y de transacciones realizadas llegaban al correo y teléfono personal”.
Esto quiere decir que, el banco intentó notificar los códigos token empleando la información de gobiernos anteriores; es decir, aquella registrada desde tiempo atrás para los usuarios que realizaron las transacciones bancarias, pasando por alto los datos suministrados por la administradora del portal en la solicitud presentada en enero del año 2020.
Inconsistencia que genera serias dudas en cuanto al manejo empleado por la entidad para el suministro de un dato tan significativo como lo es el token de acceso para transacciones; irregularidad que sube de tono con lo manifestado en el plurievocado informe de seguridad, donde se indicó, “las consultas practicadas a la Gerencia de Desarrollo TIC, permiten evidenciar, que, el Canal de Banca Virtual, no tiene dispuestos controles o mecanismos que restrinjan el ingreso de un mismo número celular a varios usuarios o clientes del Banco, riesgo este que, -en el caso del fraude reportado por el Municipio de Machetá-, se hizo 20 Verbal 11001-31-99-003-2022-04832-01 de Municipio de Machetá Cundinamarca Banco Agrario de Colombia manifiesto, al establecer, que el número celular 3226382977 fue registrado para los días 07 y 12 de abril de 2021 a los usuarios ‘Originador51’ y ‘Autorizador81’ – quienes recibieron, en este medio configurado, las notificaciones de los token (códigos de ingreso), los días, 07, 08, 09, 12, 13, 14, 15, 16 y 19 de abril de 2019, para poder realizar las operaciones de transferencia que no reconoce el cliente reclamante, Municipio de Machetá”.
Expresado de otra manera, el aplicativo permitió la inscripción de más de un teléfono para compartir los tókenes de acceso, los cuales fueron enviados, vía SMS al número 3226382977, registrado anormalmente por los usuarios infractores, quienes, se insiste, ya no debían permanecer en la banca, línea que según se dijo “también se encuentra registrada o vinculada a otros siete (7) usuarios y clientes de la Banca Virtual, diferentes al Municipio de Machetá. Luego entonces, similar situación de riesgo al evidenciado en la Banca Virtual del Municipio de Machetá, se puede estar advirtiendo, con el cliente Administración Pública Cooperativa de Servicios Públicos de Casablanca E.S.P. SERVICASABIANCA – NIT 900.349.919-7; y con el cliente Reinaldo de Jesús Restrepo Henao, c.c.71.171.442; quienes radicaron, en su orden, reclamaciones ante el Banco en las Oficinas Casablanca y San Roque, por operaciones, también de transferencia a través del canal de Banca Virtual, que no reconocen y que, reportan haberse realizado, el día 07 de abril de 2021”.
Aunado a ello, el pronunciamiento interno de la entidad bancaria se limitó a anunciar que “Los usuarios que aparecen en la auditoría de la BD de la BV, no reflejan pertenecer al cliente referenciado, nos encontramos validando esta información para tener claro la forma en que se pudo registrar esta información en tales condiciones, aún no tenemos información precisa al respecto”.
Esto permite inferir que, además de que el conminado envió el token a una línea no registrada por la administradora, era de su conocimiento su vinculación a otros posibles fraudes, aspecto al que no se le prestó ninguna importancia en el momento en que la entidad financiera tuvo conocimiento de las alertas de seguridad generadas por las transferencias realizadas. 5.3.
Para desarrollar este punto de alertamientos, conviene precisar que dentro de los requerimientos ordenados en la Circular Externa 29 de 2014 a entidades como el Banco Agrario de Colombia, se previó la obligación de “[e]laborar el perfil de las costumbres transaccionales de cada uno de 21 Verbal 11001-31-99-003-2022-04832-01 de Municipio de Machetá Cundinamarca Banco Agrario de Colombia sus clientes y definir procedimientos para la confirmación oportuna de las operaciones monetarias que no correspondan a sus hábitos”.
Sobre este tópico, en la declaración del señor representante legal del banco explicó con suficiencia que el perfil transaccional de un cliente “está conformado por varios ítems, los cuales le ayudan al Banco a identificar que quien está haciendo la transacción es la persona, en términos generales el banco utiliza la parametrización de canales, de IP, de habitualidad, de monto (…) por ejemplo, retiros por PSE, transacciones por cajero, en ventanilla, tipos de montos diarios efectuados, semanales, mensuales.
En fin, toda la habitualidad del cliente en general es parametrizada y lo que le brinda de acuerdo a lo ordenado por la Superfinanciera, pues le brinda un perfil transaccional que digamos, utilizándolo certifica que la persona que está haciendo la transacción es el titular de la cuenta”. Seguidamente, al pronunciarse sobre el perfil transaccional del Municipio de Machetá dijo: “bueno su señoría, aquí entonces entendemos que es titular de cuatro cuentas de ahorro y todas se utilizaban para hacer transferencias por medio de la sucursal virtual, específicamente entonces tenemos que la cuenta terminada en 3425, esa cuenta contaba con un perfil que manejaba montos de $139.000.000 aproximadamente; la cuenta terminada en 3441 manejaba montos un poco diferentes, digamos esa 3425 era la que manejaba transacciones más altas, las demás ya tenían montos más bajos de $3.000.000 - $1.500.000, las otras tres, ese era más o menos el habito o la utilización de las cuentas por parte del municipio”.
Ninguna referencia realizó el deponente frente a la constancia o frecuencia de esos hábitos transaccionales, aspecto dilucidado por la testigo Lina María Novoa (secretaria de hacienda del municipio y quien manejaba la banca virtual), cuando se le preguntó si “era normal hacer 30 o 40 transacciones en un mismo día por valores similares”, respondiendo: “no, para nada, o sea 30 transferencias eso si lo recuerdo nunca las hice, es más, ni siquiera la nómina porque la nómina la hago en una sola transferencia realizando el archivo plano. En un archivo plano ingreso las 20 personas de la nómina y hago una sola transferencia (…), nunca realicé 30 o 40 transferencias y no es usual que uno realice todas esas transferencia y mucho menos por ese valor y fue algo que a nosotros nos sorprendió en ese momento, que de pronto hubiese sido una alerta para el banco. -Oiga mire, en esas cuentas están sacando 13-13-13- y pues a la final nunca hubieran realizado el bloqueo de la banca virtual como sí lo hicieron después de que sucedieron los hechos”. 22 Verbal 11001-31-99-003-2022-04832-01 de Municipio de Machetá Cundinamarca Banco Agrario de Colombia En esa línea de estudio, al representante legal de Banagrario se le cuestionó acerca de los protocolos para identificar operaciones sospechosas para la fecha de los hechos, y contestó: “su señoría, qué le puedo decir, pues dependiendo de la habitualidad del cliente y de la transacción. El banco sí generó una alerta como consta en el informe de seguridad y esas alertas se intentó comunicarlas al celular de la señora Penagos, nunca se tuvo respuesta positiva al número, eventualmente también se enviaron correos informando las transacciones, lo cual tampoco tuvieron éxito, pero puntualmente a la señora Penagos sí le llegaron las alertas como las llamadas del banco informando las transacciones”; de cara a esa respuesta se le inquirió una explicación sobre el correo electrónico al que se enviaron los comunicados y dijo: “sí su señoría, como consta en el informe de seguridad que obra en el expediente se evidencia que el correo tenía un error de digitación entonces al correo que enviaron lamentablemente no pudo ser efectivo”.
Adicionalmente, la funcionaria indagó por las alertas presentadas con ocasión de las transacciones objeto de este proceso, frente a lo cual el expositor refirió: “(…) entiendo que el banco determinó sospechosas las operaciones que se salían del perfil del cliente, por eso mismo intentó contacto con los… con los titulares de la cuenta sin obtener respuesta alguna”; también se averiguó por las acciones desplegadas ante la falta de contacto, lo que explicó diciendo: “entiendo que la última transacción fue el día 19 [de abril de 2021], ese mismo día recibimos solicitud de verificación de transacciones por parte de la alcaldía y de las labores ya de verificación e investigación por parte del Banco, el Banco logró pues reversar 7 transferencias por valor total de $91.775.527 dentro de su labor investigativa y de bloqueo”.
Para mayor precisión, preguntó cuándo se generó específicamente la alerta, contestó: “podemos indicar que desde el 7 [de abril de 2021] ya se estaba solicitando la confirmación de las transacciones”. Tales asertos se corroboran con el informe de seguridad rendido por el banco, así como los archivos del log transaccional de los alertamientos, elementos persuasivos que analizados conjuntamente demuestran, sin asomo de duda que: i) las 92 transacciones cuestionadas no coincidían con el perfil transaccional de la Alcaldía de Machetá; ii) ese comportamiento inusual, en efecto, generó alertas al banco desde el día 7 de abril de 2021 (fecha de la primera transferencia fraudulenta); iii) como medida preventiva el banco intentó (sin éxito) contactar a la señora María Alejandra Penagos Barreto, quien ya se dijo, hizo parte del ente territorial en la administración anterior, al 23 Verbal 11001-31-99-003-2022-04832-01 de Municipio de Machetá Cundinamarca Banco Agrario de Colombia teléfono registrado y al correo electrónico de tesorería del municipio; iv) tales comunicaciones fueron infructuosas, puesto que la llamada nunca fue atendida y el e-mail quedó inscrito erradamente en las bases de datos de la entidad financiera; es decir, nunca se pudo materializar el contacto con la entidad por las operaciones sospechosas.
Así ocurrió con las 92 transacciones, cuyos alertamientos no fueron atendidos, v) finalmente, como medida de contingencia y ante la solicitud de Machetá, el banco decidió bloquear el acceso a los usuarios el 19 de abril de 2021 (12 días después de la primera alerta de seguridad). En este punto viene bien destacar que el informe de seguridad rendido por el Banco Agrario revela que en el Área de Monitoreo transaccional, se indagó “del por qué no se bloqueó la banca virtual del Municipio de Machetá, desde el día 7 de abril de 2021, cuando se alertaron las 7 primeras transacciones, que se registran efectuadas entre las 3:19 y las 4:10 de la tarde, y que suman un valor de $59.920.000, máxime, que no se logró contacto directo con el cliente”, inquietud absuelta por el personal de la entidad, señalando: “conforme al Procedimiento SE-PR-041 de Monitoreo Transaccional, las únicas funciones de esa Área, para bloquear transacciones, es cuando un cliente manifieste claramente que no realizó las operaciones (…), evento este que en el caso particular del municipio de Machetá, no ocurrió, por cuanto el alertamiento surtido para las 92 transferencias cuestionadas por el cliente, no tuvo contacto efectivo con un interlocutor del municipio de Machetá”.
Asimismo, enseña el citado documento que el 15 de octubre de 2020 el banco impartió como directriz expresa: “A partir de este momento queda suspendido el bloqueo de los clientes oficiales producto de la no contactabilidad por el alertamiento de transacciones. Mantenemos el reporte automático que existe cada hora”. 6. Evidencias que, a no dudarlo, dejan entrever que los débitos reprochados no se hubieran producido, de haber atendido prontamente las señales de alerta por parte del banco convocado, empero, este soslayó que la Circular Básica Jurídica (C.E. 029/14), en su canon 2.3.3.1.12., impone a todas las entidades sometidas a la inspección y vigilancia de la Superintendencia Financiera de Colombia, “[e]stablecer procedimientos para el bloqueo de canales o de instrumentos para la realización de operaciones, cuando existan situaciones o 24 Verbal 11001-31-99-003-2022-04832-01 de Municipio de Machetá Cundinamarca Banco Agrario de Colombia hechos que lo ameriten (…)”, comportamiento descuidado que, ciertamente, fue el factor determinante de la generación del daño ocasionado a las arcas del Municipio de Machetá, pues fueron 92 alertamientos que pasaron desapercibidos y no puede perderse de vista que, según las directrices jurisprudenciales, “(…) de todos los antecedentes y condiciones que confluyen a la producción de un resultado tiene la categoría de causa aquél que de acuerdo con la experiencia (las reglas de la vida, el sentido común la lógica de lo razonable) sea el más 'adecuado el más idóneo para producir el resultado”7.
Quedando establecidos para así demostrada brindar eficiente la fragilidad seguridad a de los controles las transacciones instrumentadas a través de la banca virtual, a tono con lo dispuesto en el artículo 7, literal q) de la Ley 1328 de 2009, desconociendo, a su vez, las disposiciones contenidas en la Circular Externa 21 de 2019, que contempló las medidas preventivas para el manejo de los recursos públicos a través de canales transaccionales por parte de los Entes Territoriales y Empresas Sociales del Estado (ESE), puntualmente en los numerales que le imponen al banco: “1.5.11.
Establecer medidas que ayuden a evitar inconvenientes operativos en el uso de los recursos públicos derivados del proceso de transición, por ejemplo, por el cambio de firmas y bloqueo de usuarios. Las medidas deben ser previamente informadas a la Entidad Territorial y ESE; 1.5.12. Revisar y, si es necesario, ajustar los procedimientos internos para los trámites de apertura, cancelación, cambio de firmas de cuentas de ahorro o corrientes o de administradores de estas, establecidos para el manejo de los recursos propios y especiales, con el fin de mantener el adecuado registro y control de las cuentas; 1.5.13.
Optimizar los mecanismos de monitoreo de transacciones inusuales”. Desde esa perspectiva, se patentiza, la responsabilidad exclusiva de la entidad financiera llamada a estas diligencias sin que se haya verificado la culpa en cabeza del Municipio de Machetá por la vulneración a los sistemas de seguridad cibernética del Banco Agrario de Colombia, toda vez que no demostró que las omisiones de la municipalidad promotora del litigio, tuvieran jurídicamente la idoneidad o aptitud para producir el resultado dañoso, cuyo CSJ.
Cas. Civil. Sentencia de 26 de septiembre de 2002, Exp. No. 6878, reiterada en sentencia de 15 de enero de 2008, Exp. No. 11001-3103-037-2000-67300-01 7 25 Verbal 11001-31-99-003-2022-04832-01 de Municipio de Machetá Cundinamarca Banco Agrario de Colombia reparación ahora se depreca, carga que pesaba sobre sus hombros, en los términos del artículo 167 del Código General del Proceso, y la jurisprudencia de la Sala de Casación Civil, Agraria y Rural de la Corte Suprema de Justicia, según la cual, es “(…) claro en el caso de defraudación por transacciones electrónicas, dado que tal contingencia o riesgo es inherente a la actividad bancaria la cual es profesional, habitual y lucrativa, cuya realización requiere de altos estándares de diligencia, seguridad, control, confiabilidad y profesionalismo, que también tienen que ser atendidos en materia de seguridad de la información que sea transmitida por esa vía, siendo innegable e ineludible su obligación de garantizar la seguridad de las transacciones que autoriza por cualquiera de los medios ofrecidos al público y con independencia de si los dineros sustraídos provienen de cuentas de ahorro o de cuentas corrientes.
De ahí que atendiendo la naturaleza de la actividad y de los riesgos que involucra o genera su ejercicio y el funcionamiento de los servicios que ofrece; el interés público que en ella existe; el profesionalismo exigido a la entidad y el provecho que de sus operaciones obtiene, los riesgos de pérdida por transacciones electrónicas corren por su cuenta, y por lo tanto, deben asumir las consecuencias derivadas de la materialización de esos riesgos a través de reparar los perjuicios causados, y no los usuarios que han confiado en la seguridad que les ofrecen los establecimientos bancarios en la custodia de sus dineros, cuya obligación es apenas la de mantener en reserva sus claves de acceso al portal transaccional.
Desde luego que consumada la defraudación, el Banco para exonerarse de responsabilidad, debe probar que esta ocurrió por culpa del cuentahabiente o de sus dependientes, que con su actuar dieron lugar al retiro de dinero de la cuenta, transferencias u otras operaciones que comprometieron sus recursos, pues amén de que es este quien tiene el control de mecanismos que le permiten hacer seguimiento informático a las operaciones a través de controles implantados en los software especializados con los que cuentan, la culpa incumbe demostrarla a quien la alegue (art. 835 C.Co.), pues se presume la buena fe «aún la exenta de culpa»”8.
(Negrillas fuera de texto). Sin que tampoco sea de recibo para el Tribunal la sugerencia del apelante acerca de una probable “culpa compartida o compensación de culpas”, 8 CSJ. SC18614-2016 26 Verbal 11001-31-99-003-2022-04832-01 de Municipio de Machetá Cundinamarca Banco Agrario de Colombia pues, aun cuando al artículo 6, literal c) de la Ley 1328 de 2009, plantea como buena práctica de protección propia por parte de los consumidores financieros, “[o]bservar las instrucciones y recomendaciones que imparta la entidad vigilada sobre el manejo de productos o servicios financieros” y en este puntual caso se demostró que el Municipio de Machetá desatendió algunas de las directrices de seguridad al permitir que los usuarios “originador” y “autorizador”, fueran manejados por la señora Lina María Novoa Torres, o al no actualizar el número telefónico que ya no se encuentra en uso, lo cierto es que tal comportamiento no fue la causa eficiente del daño producido, por el contrario, como se explicó con suficiencia párrafos atrás, la vulneración y el resultado de este análisis, surgen al acreditarse la desatención de la pasiva en sus deberes como operador bancario, al tratarse de un profesional en el ejercicio de su actividad, quien debe ser conocedor de ese tipo de fraudes y adoptar todas las medidas necesarias para identificar operaciones que resultan inusuales o sospechosas de una posible actividad delictiva, tomando activamente medidas ante una situación semejante, así como garantizando los filtros y validaciones para el uso de su portal transaccional de internet, lo que en este caso, se hizo, pero de manera poco acuciosa, tardía, despreocupada y deficiente. 7.
Puesta así la controversia, se confirmará la sentencia apelada, con la consecuente condena en costas a la parte recurrente, al tenor de lo previsto en la regla 1ª del artículo 365 del Código General del Proceso. DECISIÓN En mérito de lo expuesto, el Tribunal Superior del Distrito Judicial de Bogotá D.C., en Sala Quinta Civil de Decisión, administrando justicia en nombre de la República y por autoridad de la ley, RESUELVE:
PRIMERO: CONFIRMAR la sentencia proferida el 29 de mayo de 2024 por la Delegatura para Asuntos Jurisdiccionales de la Superintendencia Financiera de Colombia, dentro del asunto del epígrafe.
SEGUNDO: CONDENAR en costas de esta instancia a la parte recurrente. La magistrada sustanciadora fija como agencias en derecho la 27 Verbal 11001-31-99-003-2022-04832-01 de Municipio de Machetá Cundinamarca Banco Agrario de Colombia suma de dos millones de pesos ($2.000.000). Liquídense de conformidad con lo establecido en el artículo 366 del C. G. del P.
TERCERO: En oportunidad, por Secretaría, ofíciese al Despacho de origen informándole sobre la presente decisión y remítasele copia magnética de esta providencia, para que haga parte de la actuación respectiva.
NOTIFÍQUESE ANGELA MARÍA PELÁEZ ARENAS Magistrada (0320220483201) SANDRA CECILIA RODRÍGUEZ ESLAVA Magistrada (0320220483201) CLARA INÉS MÁRQUEZ BULLA Magistrada (0320220483201) Firmado Por: Angela Maria Pelaez Arenas Magistrada Sala 009 Civil Tribunal Superior De Bogotá D.C., Sandra Cecilia Rodriguez Eslava Magistrada Sala Civil Tribunal Superior De Bogotá, D.C. - Bogotá D.C., Clara Ines Marquez Bulla Magistrada Sala 003 Civil Tribunal Superior De Bogotá D.C., Este documento fue generado con firma electrónica y cuenta con plena validez jurídica, conforme a lo dispuesto en la Ley 527/99 y el decreto reglamentario 2364/12 Código de verificación: 397c7fdbd5d44355611c39dceda2e9aad376df65845c4ca766e8f3ef3bc06eb6 28 Verbal 11001-31-99-003-2022-04832-01 de Municipio de Machetá Cundinamarca Banco Agrario de Colombia Documento generado en 27/11/2024 10:57:29 AM Descargue el archivo y valide éste documento electrónico en la siguiente URL: https://procesojudicial.ramajudicial.gov.co/FirmaElectronica 29