La Superintendencia Financiera de Colombia fijó un nuevo precedente para la protección de los usuarios bancarios al establecer que las entidades financieras están obligadas a devolver el dinero sustraído en retiros no autorizados si no logran demostrar que activaron mecanismos de control eficaces frente a movimientos inusuales. La decisión, adoptada por la Delegatura para Funciones Jurisdiccionales del organismo, condenó a Banco Davivienda S.A. a reintegrar parcialmente 4.832.000 pesos a su cliente Alfonso Herrera Cedeño, tras determinar una responsabilidad compartida en el caso de un hurto ocurrido en Cali.
La sentencia, fechada el 31 de julio de 2026, analizó una denuncia presentada por Herrera Cedeño, quien reportó que su tarjeta fue hurtada y que, los días 20 y 23 de marzo del mismo año, se realizaron diez operaciones consecutivas en cajeros automáticos de Davivienda por un valor total de 9.664.000 pesos, todo en un lapso de aproximadamente nueve minutos. El banco, por su parte, argumentó que las transacciones se efectuaron con la tarjeta física y la clave personal del cliente, lo que, según su interpretación, eximía a la entidad de responsabilidad. Sin embargo, el fallo dio la razón parcial al demandante al considerar que la entidad no acreditó haber reaccionado ante una secuencia claramente atípica para el perfil del usuario.
Un nuevo criterio sobre la carga de la prueba
La Superintendencia Financiera señaló en su decisión que ya no basta con que los bancos demuestren que una operación se realizó con el plástico y la clave, pues la normativa exige, además, que prueben la activación de controles como el perfil transaccional del cliente, alertas preventivas, monitoreo en tiempo real y mecanismos de autenticación adecuados al riesgo. En este caso, el organismo concluyó que Davivienda no presentó evidencia de haber generado dichas alertas frente a la inusual concentración, frecuencia y cuantía de las diez operaciones realizadas en menos de diez minutos, ajenas al comportamiento habitual del cuentahabiente.
No obstante, el fallo también atribuyó una falta al cliente: Herrera Cedeño incumplió con el deber de custodia de su tarjeta y no reportó el hurto de inmediato, lo que, junto con la falta de reacción del banco, configuró una culpa compartida. Por esta razón, la Superintendencia ordenó que Davivienda devuelva el 50 por ciento del valor reclamado, es decir, 4.832.000 pesos, mientras que el cliente asume la pérdida del otro 50 por ciento. La entidad deberá hacer el reintegro en un plazo máximo de 20 días hábiles contados a partir de la ejecutoria de la sentencia. Además, se negaron las comisiones reclamadas por 64.000 pesos, que ya estaban incluidas en el monto total del reclamo.
«La institución financiera no puede exonerarse del deber de indemnizar con la simple prueba de haber obrado de manera diligente»
Superintendencia Financiera de Colombia, citando jurisprudencia de la Corte Suprema de Justicia
El fallo retoma una subregla de la Corte Suprema de Justicia que señala que «el banco podrá exonerarse de la carga indemnizatoria que se le endilga, probando que las circunstancias que originaron el desmedro patrimonial obedecieron a causas que no le son imputables». En este contexto, la Superintendencia concluyó que Davivienda no logró demostrar que la secuencia de diez retiros en nueve minutos fuera un evento ajeno a su control. La decisión también menciona que, en operaciones presenciales con tarjeta física y clave, la ausencia de un código OTP, biometría o validaciones móviles no es, por sí sola, prueba de una falla del servicio, pues lo determinante es si la entidad implementó las medidas de monitoreo exigidas por la Circular Básica Jurídica.
«No se encuentra demostrado que la entidad hubiera generado alertas preventivas frente a la inusual concentración, frecuencia y cuantía de las operaciones realizadas»
Superintendencia Financiera de Colombia, fallo del caso
Con esta sentencia, la Superintendencia Financiera, organismo que vigila a bancos, aseguradoras y bolsas de valores en Colombia, envía una señal clara a la industria sobre la necesidad de reforzar los sistemas de detección de anomalías en los más de 13.200 cajeros automáticos que operan en el país. El fallo modifica la práctica bancaria tradicional: ya no será suficiente alegar que la transacción se realizó con el plástico y la clave; ahora las entidades deberán demostrar que activaron todos los controles de monitoreo y autenticación conforme al riesgo del cliente. La sentencia no impuso condena en costas a ninguna de las partes, cerrando así un caso que marca un hito en la defensa de los derechos de los usuarios financieros.
