La decisión de la Delegatura para Funciones Jurisdiccionales de la Superintendencia Financiera de Colombia, fechada el 31 de julio de 2026, puede modificar la forma en que bancos y clientes discuten los retiros no autorizados. El mensaje central no consiste en que toda operación realizada con tarjeta física y clave deba ser reembolsada, sino en que la autenticación formal de una transacción no agota el análisis de responsabilidad. Las entidades también tendrán que demostrar que identificaron el comportamiento atípico, activaron los controles disponibles y reaccionaron con rapidez cuando existían señales objetivas de fraude.
El caso enfrentó a Alfonso Herrera Cedeño con Banco Davivienda S.A. por diez retiros que sumaron $9.664.000. Aunque la entidad sostuvo que las operaciones fueron presenciales y requirieron la tarjeta débito y la clave de cuatro dígitos, la autoridad observó una secuencia de ocho retiros de $700.000 y dos de $2.000.000, ejecutados en aproximadamente nueve minutos. La reparación fue compartida: el banco deberá reintegrar $4.832.000 y el cliente asumirá una suma equivalente. Esa distribución es relevante porque evita convertir el fallo en una transferencia automática de todos los riesgos hacia el sistema financiero.
Una carga probatoria más exigente para los bancos
El efecto inmediato de la decisión será probatorio. Ante una reclamación, ya no bastará con presentar registros que indiquen que se utilizó el plástico legítimo y la clave correcta. El banco deberá acreditar, según las circunstancias del caso, la existencia y aplicación de un perfil transaccional, alertas preventivas, monitoreo reforzado, mecanismos de bloqueo, medidas de contención y protocolos de autenticación adecuados al canal y al nivel de riesgo.
La lógica es consistente con la naturaleza de la actividad bancaria. Las entidades administran sistemas capaces de procesar grandes volúmenes de operaciones y disponen de información histórica sobre montos, horarios, ubicaciones, frecuencia y canales utilizados por cada cliente. Esa capacidad genera una expectativa razonable de prevención. Si diez retiros de alta cuantía se concentran en pocos minutos y rompen de manera evidente el patrón de uso, la pregunta jurídica deja de ser únicamente quién tenía la tarjeta: también importa si el sistema detectó la anomalía y qué hizo después.
Para los bancos, esto puede traducirse en una revisión de sus modelos de fraude y de la documentación con la que responden a los reclamos. No será suficiente afirmar que el algoritmo estaba activo; será necesario demostrar qué variables evaluó, qué umbrales aplicó, si produjo una alerta y por qué la operación fue aprobada o no bloqueada. La trazabilidad de las decisiones automatizadas puede adquirir un peso similar al de los comprobantes tradicionales.
Más protección para el cliente, pero no inmunidad
La decisión fortalece la posición de los usuarios, especialmente en escenarios donde la entidad concentra ventajas técnicas y de información. Un cliente común difícilmente puede reconstruir los registros de autenticación, los parámetros de monitoreo o las alertas generadas por un cajero automático. Exigir al banco que aporte esos elementos ayuda a equilibrar la discusión y puede incentivar respuestas más rápidas frente a denuncias de fraude.
También puede producir un efecto preventivo. Si las entidades saben que una cadena de operaciones atípicas puede generar responsabilidad, tendrán mayores razones para perfeccionar las alertas, limitar temporalmente retiros inusuales y contactar al titular antes de que la pérdida aumente. Esto podría reducir el impacto económico de modalidades basadas en el hurto de tarjetas, la obtención de claves o la coacción de usuarios.
Sin embargo, el fallo no elimina los deberes de los clientes. En el expediente se consideró acreditado el hurto de la tarjeta, pero no se probó un aviso inmediato al banco antes de los retiros, a pesar de que el usuario afirmó haber acudido minutos después del robo. Esa falta de comunicación contribuyó a la distribución de la responsabilidad. El precedente, por tanto, no convierte cualquier operación desconocida en una obligación automática de devolución ni permite desatender la custodia del plástico, la confidencialidad de la clave o el reporte oportuno.
El riesgo de una prevención demasiado rígida
La aplicación práctica de este criterio plantea un desafío delicado: prevenir el fraude sin bloquear de forma indiscriminada las operaciones legítimas. Los hábitos de consumo no son estáticos. Un cliente puede retirar una suma elevada para comprar un vehículo, atender una emergencia familiar, realizar un pago comercial o desplazarse a otra ciudad. Si los bancos responden a toda anomalía con bloqueos automáticos, aumentarán los falsos positivos y las quejas por interrupciones injustificadas.
El problema se vuelve más complejo para personas mayores, pequeños comerciantes, trabajadores informales o usuarios que alternan canales presenciales y digitales. Sus patrones pueden ser menos regulares y, por ello, más difíciles de modelar. Un sistema diseñado con criterios excesivamente uniformes podría excluir o someter a controles desproporcionados a quienes ya enfrentan mayores barreras de acceso financiero.
Hay además un riesgo operativo. El aumento de validaciones, llamadas de confirmación y bloqueos preventivos puede elevar los costos de atención y exigir inversiones en analítica, ciberseguridad y personal especializado. Esos costos podrían trasladarse parcialmente a tarifas, límites más estrictos o procesos más lentos. La presión regulatoria debe conducir a mejores controles, pero también necesita criterios de proporcionalidad para evitar que la protección termine deteriorando la experiencia legítima del usuario.
La autenticación dependerá del canal y del contexto
Uno de los puntos más importantes del pronunciamiento es la precisión sobre las operaciones presenciales. La ausencia de una contraseña de un solo uso, biometría o validación mediante una aplicación móvil no demuestra por sí sola una falla del servicio cuando esos mecanismos no hacen parte ordinaria del canal utilizado. El análisis debe establecer si el banco cumplió las reglas de autenticación y autorización exigibles para una tarjeta física y una clave.
Esta distinción evita una lectura tecnológica y automática del fallo. Incorporar más factores de autenticación no garantiza por sí mismo que una entidad haya actuado diligentemente. Una tarjeta robada puede utilizarse con una clave obtenida previamente, y una validación adicional también puede ser vulnerada mediante engaños, suplantación o coacción. La seguridad debe evaluarse como un conjunto de controles, en el que la identidad del usuario, el comportamiento transaccional, el lugar, el monto y la velocidad de las operaciones formen parte de una misma evaluación.
Al mismo tiempo, la decisión deja zonas de incertidumbre. No define con precisión un umbral general para considerar inusual una secuencia de retiros, ni determina cuánto tiempo tiene un banco para actuar después de una alerta. Es razonable que esos parámetros no sean idénticos para todos los clientes, pero la falta de referencias más concretas puede generar decisiones judiciales dispares. Un retiro que para un cliente sea extraordinario podría ser habitual para otro con actividad comercial o ingresos variables.
Un precedente con alcance todavía acotado
El caso debe interpretarse con cautela. Se trata de una condena parcial derivada de circunstancias específicas: la concentración temporal de diez operaciones, el monto acumulado, la ausencia de evidencia sobre alertas preventivas y la concurrencia de incumplimientos del usuario. No puede afirmarse que la Superintendencia haya establecido una regla según la cual los bancos deban devolver todo retiro efectuado con una tarjeta robada.
La propia sentencia presenta una inconsistencia interna sobre la fecha de las operaciones: en un apartado menciona el 23 de marzo de 2026 y en otro describe los retiros como ocurridos el 20 de marzo. Aunque esa contradicción no necesariamente cambia la evaluación sobre la secuencia transaccional, sí muestra la importancia de la precisión documental en litigios financieros. Fechas, horas, ubicación de cajeros, registros de bloqueo y comunicaciones pueden definir si existía una oportunidad real de intervención.
Para el sector financiero, la incertidumbre puede traducirse en más litigios mientras se consolidan criterios. Los clientes podrían interpretar el fallo como una vía para reclamar cualquier movimiento desconocido, mientras las entidades podrían adoptar posiciones defensivas y conservar grandes volúmenes de información para demostrar que actuaron correctamente. La calidad de las pruebas será determinante: una política general de seguridad tendrá menos valor que el registro concreto de lo ocurrido en la cuenta cuestionada.
Qué deberían ajustar las entidades y los usuarios
Los bancos tendrán incentivos para mejorar sus perfiles transaccionales, pero también para comunicar mejor sus protocolos. El cliente debería saber qué señales pueden activar un bloqueo, cómo confirmar una operación, qué canales sirven para reportar el hurto y cuál es el tiempo de respuesta esperado. La educación financiera no reemplaza las obligaciones de seguridad de la entidad, aunque puede reducir el daño cuando la tarjeta se pierde o la clave queda expuesta.
Las instituciones también podrían revisar los límites acumulados de retiro, la cantidad de operaciones permitidas en periodos breves y los procedimientos para confirmar transacciones sucesivas. Estas medidas deben diseñarse con alternativas de desbloqueo ágiles para no perjudicar a quien realiza una actividad legítima. La supervisión tendrá que evaluar no solo si existen controles, sino si son eficaces, proporcionales y accesibles para distintos perfiles de usuarios.
Para los clientes, el caso refuerza la necesidad de bloquear inmediatamente la tarjeta, reportar por canales verificables, conservar números de radicado y revisar con frecuencia los movimientos de la cuenta. También resulta importante diferenciar entre una operación no reconocida y una operación efectivamente no autorizada: la investigación puede revelar si hubo negligencia del titular, intervención de un tercero o una falla de los sistemas de control.
La tendencia que deja este pronunciamiento apunta hacia una responsabilidad compartida y basada en el riesgo. El banco no podrá escudarse únicamente en la utilización de credenciales correctas, pero el usuario tampoco quedará liberado de sus deberes de custodia y aviso. El impacto más duradero dependerá de cómo los jueces y la Superintendencia apliquen el criterio a otros canales, montos y patrones de comportamiento. Mientras se definen esos límites, la evidencia sobre la reacción concreta de cada entidad será tan importante como la tecnología utilizada para autorizar la transacción.
