El Consejo Directo de la Superintendencia de Bancos y de Otras Instituciones Financieras.
Que el artículo 115, de la Ley No. 561, Ley General de bancos, Instituciones Financieras no bancarias y grupos Financieros, establece que las Centrales de Riesgo Privadas estarán sometidas a la aprobación y reglamentación de la Superintendencia de Bancos y de Otras Instituciones Financieras, estando sujetas a reserva conforme a lo indicado en el artículo 113 de la misma Ley;
Que con base en la facultad legal a que hace referencia el considerando anterior, es necesario establecer los mecanismos de aprobación y reglamentación de las Centrales de Riesgo Privadas, de modo que éstas puedan brindar servicios de información consolidada y clasificada a las instituciones financieras y empresas que, con el fin de mitigar su exposición al riesgo crediticio, así lo requieran;
Que es establecimiento de Centrales de Riesgos Privadas (que en adelante, se denominarán CRP), implica el manejo de la información crediticia con alta tecnología, de tal manera que los productos y servicios de las CRP están disponibles a mayor número de establecimientos que otorgan créditos y por ende más personas tendrán mayor acceso al crédito.
Que el disponer de los productos y servicios de las CRP, implica mayor seguridad contra el fraude y agilidad en el manejo de los crédito y por ende menor costo en dichas operaciones,
Que el artículo 3, numeral 14, de la Ley No. 316, Ley de la Superintendencia de Bancos y de Otras Instituciones Financieras, reformado por la Ley No. 552, “Ley de Reformas a la Ley No. 316, Ley de la Superintendencia de Bancos y de Otras Instituciones Financieras”, establece que para el cumplimiento de sus fines, la Superintendencia tiene la facultad de dictar las normas y disposiciones necesarias para el cumplimiento del objeto de dicha Ley.

En uso de sus facultades

Artículo 1. Conceptos.- Para los fines de la presente Norma, los términos indicados en este artículo, tanto en mayúsculas como en minúsculas, singular o plural, tendrán los significados siguientes:

1. Base de Datos: Conjunto de información administrada por la Central de Riesgos Privada (CRP), cualquiera sea la forma o modalidad de su creación, organización, almacenamiento, sistematización y acceso, que permita relacionarla entre sí; así como, procesarla con el propósito de proporcionarla a terceros autorizados o facultados para recibirla.

2. Central de Riesgos Privada: Persona jurídica constituida como sociedad anónima conforme lo establecido en el Código de Comercio, cuyo giro principal será recibir, procesar y proporcionar información crediticia, así como actividades conexas al giro principal, a juicio del Superintendente.

3. Días: Días calendarios, salvo que expresamente se establezca que se refiere a días hábiles.

4. Entidades supervisadas: Se refieren a los bancos e instituciones financieras no bancarias supervisadas por la Superintendencia de Bancos y de Otras Instituciones Financieras.

5. Firma: Se refiere a la Firma de Auditores Externos, que es una persona jurídica de carácter privado e independiente, que tiene como objeto principal proporcionar servicios de auditoría externa.

6. Grupo de interés económico: Partes relacionadas, vinculaciones significativas y manifestaciones indirectas de las personas jurídicas a las que aplica la presente norma. Lo anterior de conformidad con las pautas establecidas al respecto por el artículo 55 de la Ley 561, Ley General de Bancos, Instituciones Financieras no Bancarias y Grupos Financieros y la normativa que regula la materia sobre límites de concentración.

7. Hechos significativos: Lo constituyen aquellos hechos que exponen o que eventualmente puedan exponer a la entidad supervisada a riesgos que puedan tener impacto en su situación financiera, de tal manera que exista la posibilidad de afectar el cumplimiento de obligaciones con sus clientes, así como con terceros, según corresponda.

8. Información Crediticia: Información relacionada a una persona natural o jurídica, sobre sus obligaciones o antecedentes financieros o cualquier otra información vinculada a las características, históricas y presentes, de su capacidad de endeudamiento, historial y comportamiento de pago.

9. Ley General de Bancos: Ley No. 561, Ley General de Bancos, Instituciones Financieras no Bancarias y Grupos Financieros, publicada en La Gaceta, Diario Oficial, Número 232, del 30 de Noviembre del 2005.

10. Período contable: Se refiere al período comprendido entre el 1º de enero y el 31 de diciembre de cada año. Para tal efecto, la CRP deberá solicitar a la Dirección General de Ingresos el permiso correspondiente para el cambio de período fiscal.

11. Recolección de información: Toda operación o conjunto de operaciones o procedimiento técnico que permitan a las CRP obtener información.

12. Registro: Registro de Auditores Externos de la Superintendencia.

13. Reporte de crédito: Toda comunicación escrita o contenida en algún medio óptico o magnético proporcionada por una CRP con información crediticia referida a una persona natural o jurídica, identificada.

14. Superintendencia: Superintendencia de Bancos y de Otras Instituciones Financieras.

15. Superintendente: Superintendente de Bancos y de Otras Instituciones Financieras.

16. Titular: Toda persona natural o jurídica a la que se refiere la información crediticia proporcionada por la CRP.

17. Usuario: Es la persona natural o jurídica que cuenta con autorización escrita del Titular para solicitar y recibir información crediticia de la CRP.

18. Usuarios eventuales: Son aquellos que de manera eventual solicitan información a la CRP, previa entrega física de la autorización del Titular.

19. Usuarios permanentes: Son aquellos que de manera habitual otorgan crédito y por lo tanto han firmado contrato con la CRP para recibir información crediticia de los Titulares que lo hayan autorizado.

Artículo 2. Objeto.- La presente Norma tiene por objeto reglamentar la aprobación de la constitución y funcionamiento de las CRP, a las que se refiere el artículo 115 de la Ley General de Bancos. De conformidad con el mencionado artículo, la información crediticia que manejen las CRP proveniente de los bancos e instituciones financieras no bancarias supervisadas, estará sujeta a reserva conforme a lo indicado en el artículo 113 de dicha Ley.

También tiene por objeto regular el manejo de la información crediticia proveniente de los bancos e instituciones financieras no bancarias supervisadas, garantizando el respeto a los derechos de los Titulares de la misma, reconocidos por la Constitución Política y la legislación vigente, promoviendo la veracidad, confidencialidad y uso apropiado de dicha información.

Artículo 3. Alcance.- Las CRP sujetas a los preceptos de la presente Norma, son las que administren información proveniente de los bancos e instituciones financieras no bancarias supervisadas por la Superintendencia, sin perjuicio de que éstas administren información de entidades no supervisadas.

Artículo 4. Requisitos de Constitución.- Los interesados que deseen obtener aprobación para constituir una CRP, deberán manifestar, por escrito, su intención en comunicación dirigida al Superintendente, adjuntado, como mínimo, lo siguiente:

1. Proyecto de la escritura de constitución y sus estatutos;

2. Currículum Vitae de las personas que ocuparían cargo de directores y principales funcionarios;

3. Propuesta de la composición accionaria;

4. Evidencia de experiencia de al menos un año de los administradores en una
CRP establecida en cualquier país;

5. Cartas de referencia de entidades supervisadas o de entidades comerciales dentro o fuera del país que evidencie la capacidad de los administradores de brindar servicios de CRP y la calidad de los mismos;

6. Programa general de funcionamiento que contenga como mínimo:

a. Organigrama de la CRP.

b. Descripción de los sistemas tecnológicos previstos, así como el diseño de los procesos de recopilación y manejo de la información.

c. Características de los productos y servicios que prestarán a los Usuarios.

d. Borrador de formato conteniendo los campos de información que almacenará.

e. Las políticas de prestación de servicios.

f. Código de Conducta.

g. Las medidas previstas de seguridad y de control interno.

h. Los planes de contingencia.

7. Presentar los informes de auditoria señalados en el artículo 28 de la presente Norma, emitidos por una Firma inscrita en el Registro de la Superintendencia, conforme lo establecido en el inciso

a), del artículo 17 de estas disposiciones.

8. Minuta que denote depósito en la cuenta corriente de la Superintendencia, por valor de cien mil córdobas, para la tramitación de la solicitud. Una vez que hayan iniciado sus operaciones, le será devuelto dicho depósito a los promotores. En caso de que sea denegada la solicitud, el diez por ciento (10%) del monto del depósito ingresará a favor del Fisco de la República; el saldo le será devuelto a los interesados. En caso de desistimiento, el cincuenta por ciento (50%) del depósito ingresará a favor del fisco;

9. Presentar declaración notarial referida en el artículo siguiente; y

10. La demás información y documentación que el Superintendente considere razonable para evaluar la solicitud respectiva.

En el caso de sociedades que a la entrada en vigencia de la presente Norma estuvieren constituidas y manifestaren su intención de operar como CRP, deberán adoptar su pacto social y estatutos conforme a lo aquí establecido y para tales efectos, deberán cumplir con los requisitos señalados en el presente artículo y los artículos 5 y 6 subsiguientes.

Artículo 5. Impedimentos.- Están impedidos de ser directores o gerentes de una CRP, aquellas personas incursas en las causales señaladas en el artículo 29, numerales 1, 5, 6, 7 y 8 de la Ley General de Bancos. A los efectos de este artículo, las personas antes indicadas deberán presentar declaración notarial de no estar incurso en los impedimentos del artículo 29 anteriormente especificados según modelo establecido en el Anexo 1, el que pasa a formar parte integrante de la presente Norma.

Artículo 6. Autorización para la constitución de la CRP.- Para obtener la resolución de autorización de constitución de una CRP, se seguirá el siguiente procedimiento:

1. Proceso de autorización: Presentada la información a la que se refieren los artículos precedentes, el Superintendente la someterá, con su respectiva recomendación, a la consideración del Consejo Directivo de la Superintendencia, quien otorgará o denegará la autorización para constituirse como CRP, todo dentro de un plazo que no exceda de sesenta (60) días, a partir de la fecha que se haya recibido toda la información requerida.

2. Solicitud de aprobación para inicio de operaciones: Una vez autorizada la constitución de la CRP, dentro del plazo de sesenta (60) días contados a partir de la notificación de la resolución de autorización para constituirse, ésta deberá presentar al Superintendente lo siguiente:

a. Testimonio de la escritura de constitución y sus estatutos con las correspondientes razones de inscripción en el Registro Público;

b. Balance general de apertura;

c. Certificación de los nombramientos de los directores para el primer período, el gerente o principal ejecutivo; y

d. Fotocopia certificada del Registro Único del Contribuyente (RUC). Para las sociedades constituidas referidas en la parte in fine del artículo 4 de la presente Norma, deberán presentar además los estados financieros auditados del último período.

3. Caducidad automática de la autorización: Si transcurridos el plazo de sesenta (60) días referido en el presente artículo, sin que los interesados hubiesen cumplido con el requisito para la autorización de inicio de operaciones, o transcurridos noventa (90) días a partir de la notificación de la resolución que autoriza a la entidad para iniciar operaciones, sin que la misma haya iniciado sus operaciones, las resoluciones para constituirse como CRP, así como la de autorización para iniciar operaciones, quedarán sin efecto.
Artículo 7. Fuentes de información.- Las entidades supervisadas por la Superintendencia podrán concertar convenios de manera particular con las CRP autorizadas y suministrarles información sobre sus operaciones activas, de conformidad a lo establecido en el último párrafo del artículo 115 de la Ley General de Bancos. El suministro de esta información no tendrá costo alguno para la CRP.

La CRP deberá manejar la información crediticia con la debida imparcialidad, confidencialidad y respeto al derecho individual de los Titulares, quedando entendido que los Usuarios deben utilizar dicha información únicamente para los fines autorizados por el Titular.

Artículo 8. Suministro de información crediticia.- Para el suministro de la información crediticia, la CRP deberá establecer procedimientos automatizados para la transmisión, comunicación o acceso de datos por parte de los Usuarios, resguardando en todo momento los derechos de los Titulares.

Para que la CRP suministre información crediticia a los Usuarios, éstos deben de previo obtener la autorización escrita del Titular de la información identificándose con el correspondiente documento legal.

En el caso de Usuarios eventuales, la autorización del Titular para solicitar la información crediticia deberá ser entregada en forma previa a la CRP cada vez que dicho Usuario eventual haga uso de los servicios proporcionados por ésta.

Con relación a los Usuarios permanentes que de manera habitual otorguen créditos, éstos deberán firmar contratos con la CRP para solicitar la información crediticia. La autorización escrita que del Titular obtenga el Usuario, permanecerá bajo custodia de éste último sin necesidad de la previa entrega a la CRP. En dichos contratos se establecerá que las autorizaciones del Titular para obtener información crediticia de la CRP permanecerán disponibles en los archivos del Usuario, quien a su vez faculta a la Firma contratada por la CRP a realizar procedimientos de auditoria, extra situ o in situ en sus oficinas, a fin de verificar la existencia de dichas autorizaciones.

Ninguna CRP podrá impedir a sus Usuarios que soliciten información a otra CRP.

Artículo 9. Recolección y tratamiento de la información.- Para proteger los derechos del Titular, las CRP deberán observar, como mínimo, los siguientes lineamientos generales para la administración de la información crediticia:

1. La obtención de la información no podrá recabarse por medios distintos a los establecidos en la presente Norma;

2. La información obtenida sólo podrá utilizarse para los fines señalados en la presente Norma; y

3. La información deberá ser exacta, veraz y actualizada, de forma tal, que responda a la situación real del Titular de la información en determinado momento. Si la información resulta ser inexacta, errónea o caduca, en todo o en parte, deberán, previa consulta con el Usuario proveedor de la información, adoptarse las medidas correctivas de manera inmediata por parte de la CRP para su modificación o supresión.

Artículo 10. De la base de datos.- La base de datos de las CRP se integrará con la información sobre operaciones crediticias y otras de naturaleza análoga que le sea proporcionada por los Usuarios, o de otras fuentes de información de carácter público.

La información obtenida no podrá ser modificada de oficio por la CRP. El cambio en estos registros deberá provenir directamente de las fuentes que proporcionan la información, debiendo procurar la CRP mecanismos que garanticen una actualización permanente de la información registrada en sus bases de datos.

Las CRP establecerán manuales operativos estandarizados que deberán ser observados por los Usuarios, para llevar a cabo el registro de información en su base de datos, así como para la emisión, rectificación e interpretación de los Reportes de Crédito que la CRP emita.

Artículo 11. Seguridad en el manejo de las bases de datos.- La CRP deberá adoptar las medidas de seguridad y control que resulten necesarias para evitar el manejo indebido de la información. Para este propósito se entiende como uso o manejo indebido de la información cualquier acto u omisión tendiente a causar o que cause perjuicio al Titular de la información en su persona o patrimonio, a la persona de la que se posea información, así como cualquier acción que se traduzca en un beneficio patrimonial, o de cualquier otra naturaleza, a favor de los funcionarios y empleados de la CRP o de esta última, siempre y cuando no se derive de la realización propia de su objeto.

Artículo 12. Mantenimiento de la información.- Las CRP están obligadas a conservar la información que les sea proporcionada por los Usuarios, durante un plazo de cinco años, contados a partir de la fecha en que:

1. El Usuario cobre en su totalidad el crédito otorgado al Titular;

2. Desde la sentencia ejecutoriada que haya condenado al Titular al pago de las obligaciones derivadas del crédito correspondiente;

3. Se extinga el derecho del actor o demandante para pedir la ejecución de dicha sentencia, o

4. Prescriba la acción del Usuario para cobrar el crédito a cargo del Titular.
Artículo 13. Derecho de acceso a la información.- Los Titulares tendrán derecho a solicitar a las CRP el envío de su Reporte de Crédito, gratuito, una vez al año, y pagando un cargo que cubra el costo de procesamiento, las veces que lo desee.

La CRP deberá formular el Reporte de Crédito solicitado en forma clara y completa, de tal manera que se explique por sí mismo o con la ayuda de un instructivo anexo, y enviarlo o ponerlo a disposición del Titular en un plazo de cinco días hábiles contados a partir de la fecha en que la CRP hubiera recibido la solicitud correspondiente. El Reporte de Crédito deberá permitir al Titular conocer de manera clara y precisa la condición en que se encuentra su situación crediticia.

Para efectos de la entrega del Reporte de Crédito, las CRP deberán, a elección del Titular:

1. Ponerlo a su disposición en las oficinas de la CRP;

2. Mediante la visualización de los datos en pantalla; o

3. Enviarlo a la dirección de correo postal o electrónico que haya señalado en la solicitud correspondiente.

Adicionalmente, los Titulares que gestionen algún crédito ante un Usuario, podrán solicitar a éste los datos que hubiere obtenido de la CRP a efecto de aclarar cualquier situación respecto de la información contenida en el Reporte de Crédito.

Artículo 14. Derecho de rectificación.- Cuando los Titulares no estén conformes con la información contenida en su Reporte de Crédito, podrán presentar una solicitud de rectificación. Dicha solicitud deberá presentarse por escrito ante la CRP o a través del Usuario, adjuntando copia del Reporte de Crédito en el que se señale con claridad los registros informativos que impugna.

Artículo 15. Trámite de rectificación.- La CRP deberá entregar al Usuario reclamado el escrito presentado por el Titular, dentro de un plazo de cinco días hábiles contados a partir de la fecha en que la CRP lo hubiere recibido. El Usuario de quien se trate, deberá responder a la CRP por escrito dentro del plazo de diez días hábiles.

Una vez que la CRP notifique por escrito el reclamo al Usuario respectivo, deberá incluir en el registro de que se trate la leyenda "registro impugnado", misma que se eliminará hasta que concluya el trámite de rectificación.

Si el Usuario acepta total o parcialmente lo señalado en el reclamo presentado por el Titular, deberá realizar de inmediato las modificaciones conducentes en su base de datos y remitirla nuevamente a la CRP debidamente corregida. Así mismo, la CRP deberá enviar el reporte de crédito corregido al Titular y a los Usuarios a quienes les hubiere proporcionado dicha información en los seis meses previos a la fecha de verificación del problema.

En caso que el Usuario acepte parcialmente lo señalado en el reclamo o señale la inexactitud de éste, deberá expresar en su respuesta los elementos que consideró respecto del reclamo, mismos que la CRP deberá remitir al Titular, dentro de los cinco días hábiles siguientes a que reciba la respuesta del Usuario. El Titular podrá manifestar en un texto de no más de sesenta palabras los argumentos por los que a su juicio la información proporcionada por el Usuario es incorrecta y solicitar a la CRP que incluya dicho texto en sus futuros Reportes de Crédito.

Si el Usuario no hace llegar a la CRP su respuesta al reclamo presentado por el Titular dentro del plazo establecido, la CRP deberá retirar temporalmente del reporte de crédito la información impugnada. Podrá incorporarse nuevamente la información impugnada al reporte de crédito, una vez se haya pronunciado al respecto el Usuario. Si el usuario no da respuesta en el término de treinta días, el Superintendente impondrá la sanción pecuniaria que corresponda conforme a lo establecido en la Ley General de Bancos y en la norma que regula la materia de multas.

En caso no hubiere avenimiento o resolución en las diferencias entre un Usuario y un Titular, el que se considere perjudicado, podrá hacer valer sus derechos en la vía correspondiente.

En caso que los errores objeto de la reclamación presentada por el Titular sean imputables a la CRP, ésta deberá corregirlos de manera inmediata.
Artículo 16. Contratación de Firmas.- Las CRP deberán contratar anualmente, a más tardar dentro del tercer trimestre del año a auditar, los servicios de Firmas inscritas en el Registro. Asimismo, las CRP deberán comunicar al Superintendente el nombre de la Firma seleccionada en un plazo máximo de cinco (5) días, contados a partir de la suscripción del contrato, adjuntando una copia del mismo y de la oferta técnica y económica que sustente la contratación.

La documentación que respalde el cumplimiento de los requisitos de contratación referidos en el artículo siguiente deberá estar a disposición del Superintendente.

Artículo 17. Requisitos mínimos para la contratación.- Las CRP sólo podrán contratar los servicios de Firmas que cumplan con los siguientes requisitos mínimos:

a) Estar inscritas en el Registro. En caso de que la CRP tuviera centros de servicios (bases de datos) localizados fuera del país, la auditoria podrá ser realizada por una Firma local o mediante la contratación de una Firma de reconocido prestigio del país donde se encuentre localizado el centro de servicio. En este último caso, la contratación deberá contener, al menos, las cláusulas establecidas en el artículo siguiente.

b) Contar con la experiencia, infraestructura, recursos humanos y técnicos, con la calificación adecuada al volumen y complejidad de las operaciones que realiza la CRP;

c) Cumplir con los requisitos de independencia e idoneidad establecidos en el Anexo 3 de la presente Norma, el cual es parte integrante de la misma.

Artículo 18. Condiciones mínimas de los contratos.- En los contratos de servicios de auditoría externa se deberán incorporar las siguientes condiciones mínimas:

a) El inicio de los exámenes de la Firma deberá realizarse a más tardar treinta (30) días antes del 31 de diciembre de cada año.

b) El alcance del examen y contenido de los informes que emitan las Firmas debe ajustarse a las disposiciones establecidas en la presente Norma, a las demás normativas que dicte la Superintendencia y a las Normas Internacionales de Auditoría (NIA).

c) La obligación de la Junta Directiva de la Firma y de cada uno de los miembros del equipo que auditará a la CRP, de presentar declaración notarial conforme Anexo 2 de la presente Norma, el cual es parte integrante de la misma.

d) El plazo de entrega de los informes debe incluir una cláusula de penalidad en la que se indiquen las multas pecuniarias que se deducirán a la Firma por incumplimiento en la calidad y tiempo de entrega de los informes correspondientes.

e) La obligación por parte de la Firma de informar por escrito al Superintendente cualquier hecho significativo que ponga en riesgo el acceso, manejo y resguardo de la información de sus Titulares, así como la estabilidad financiera de la CRP o acerca de la existencia de operaciones ilegales que determine en el transcurso o finalización de la auditoría que esté practicando. Este informe deberá hacerlo a más tardar dentro de los tres días siguientes de conocido el hecho significativo.

f) La obligación de la Firma de poner a disposición del Superintendente los papeles de trabajo, los programas de auditoría aplicados y demás información documental y electrónica, de respaldo de los informes que emitan y, de ser el caso, sustentar el informe respectivo, a simple requerimiento del Superintendente.

g) La obligación de la Firma de remitir al Superintendente, simultáneamente a su presentación a la Junta Directiva de la CRP auditada, copia de los informes que se emitan en cumplimiento de la presente Norma.

h) El compromiso de la Firma de no reemplazar al socio, gerente, supervisor o auditor encargado de la auditoría, sin la autorización de la Junta Directiva de la CRP.

Se exceptúan aquellos casos cuando éstos dejen de laborar para la Firma o hayan cumplido con el período de rotación establecidos en el artículo 22 de la presente Norma, para lo cual se deberá informar al Superintendente indicando el nombre, cargo y experiencia de la persona que lo reemplace.

i) La participación de la Superintendencia, cuando ésta lo considere necesario, en reuniones de trabajo que realicen la Firma con la Junta Directiva de la CRP, su plana gerencial y auditor interno y/o comité de auditoría, si existieren.

Artículo 19. Responsabilidades de la CRP en los exámenes de auditoría externa.- La Junta Directiva, la Gerencia General y la auditoria interna, si existiere, son directamente responsables de proporcionar a la Firma contratada la información y facilidades necesarias para que ésta pueda realizar su examen de manera adecuada, independiente y oportuna. Asimismo, es responsabilidad de dichos órganos velar por el cumplimiento de las disposiciones establecidas en la presente Norma y conformar un archivo que contenga los antecedentes y respuestas a las solicitudes de información que efectúe la Firma.

Las CRP mantendrán a disposición del Superintendente copia de la carta de gerencia o informe de control interno preparado por la Firma con motivo de la elaboración de los estados financieros auditados, informes complementarios y la correspondencia que las CRP hayan remitido a la Firma en respuesta a sus comunicaciones.

Artículo 20. Conocimiento de informes por parte de la Junta Directiva.- La Junta Directiva deberá conocer los informes que emita la Firma e instruir al Gerente General o a quien haga sus veces dentro de la CRP, la implementación de las medidas correctivas necesarias. Asimismo, será responsable, a través del auditor interno y del comité de auditoria, si existieren, de verificar el cumplimiento de dichas medidas correctivas.

La recepción y conocimiento de los informes emitidos por las Firmas por parte de la Junta Directiva, así como, las acciones correctivas derivadas, deberán constar en el Libro de Actas respectivo.

Artículo 21. Incumplimiento de contrato y cambio de Firma.- En caso de que las Firmas incumplan los requisitos señalados en los artículos 17 y 18 de la presente Norma, las CRP contratantes deberán informarlo al Superintendente dentro de los diez (10) días de suscitado el incumplimiento. Asimismo, éstas deberán informar, previa y documentadamente al Superintendente, sobre las razones que motiven el cambio de la Firma después de firmado el contrato respectivo.

En ambos casos y cuando lo considere pertinente el Superintendente, podrá citar a los representantes de la Firma.
Artículo 22. Requerimiento de rotación del equipo auditor.- La Firma tiene la obligación de rotar al socio, gerente, supervisor y auditor encargado, después de tres (3) años de haber ejecutado auditorías o servicios relacionados recurrentes a la misma CRP. Una vez concluido el referido plazo, deberá transcurrir un período de por lo menos dos (2) años para que cualquiera de dichas personas pueda volver a participar en realizar auditorías o servicios relacionados con la CRP. La rotación podrá no ser simultánea para todos los miembros del equipo.

Para los efectos mencionados en el párrafo anterior, los trabajos efectuados por dichas personas en la CRP son acumulativos, aun cuando hayan formado parte de otra Firma.

Las CRP deberán informar al Superintendente sobre las razones que eventualmente motiven un cambio de Firma antes de que suscriban el contrato respectivo con la nueva Firma, adjuntando certificación del punto de acta en el que se acordó el cambio. En todo caso, tanto la contratación de la Firma, como la rescisión de los contratos, deberán comunicarse al Superintendente dentro de un plazo de diez (10) días, contados a partir de la fecha en que se tomó el respectivo acuerdo.

En caso de que el Superintendente detecte situaciones que puedan constituir omisiones o existencia de compromisos o vínculos entre los directivos o funcionarios de la CRP y los auditores externos de la misma, que incidan en la independencia de opinión de estos últimos, o por cualquier otra razón con base en resultados de inspecciones, el Superintendente podrá requerir la contratación de otra Firma, sin perjuicio de las sanciones que pueda imponer a la Firma anteriormente contratada o a la CRP.

El plazo para determinar el requerimiento de rotación referido en este artículo, se contabilizará tomando en cuenta los años acumulados a la fecha de entrada en vigencia de esta Norma.

Artículo 23. Planeación de la auditoría.- La Firma deberá presentar a la CRP la oferta técnica y económica que incluya y documente un plan de trabajo de auditoría o servicio relacionado. Dicho plan deberá describir, entre otros aspectos, la naturaleza, oportunidad y alcance de las pruebas de control y procedimientos sustantivos; el resumen y presupuesto de tiempo para cada actividad a desarrollar en cada una de las etapas del trabajo; el programa de trabajo; el cronograma y funciones del equipo de trabajo y la evaluación y designación de la participación de especialistas en áreas específicas. Asimismo, deberá indicar claramente la fecha de inicio del trabajo a realizar y las fechas de entrega del informe borrador y del informe final.

Artículo 24. Ejecución del trabajo de auditoria externa.- Las Firmas deberán ejecutar su trabajo con base a las disposiciones contenidas en la presente Norma y a las Normas Internacionales de Auditoría (NIA).

Los papeles de trabajo u otra metodología de archivo de las evidencias de auditoría que aplique la Firma deben cumplir con lo dispuesto en las Normas Internacionales de Auditoria (NIA), y entre otras, pero no limitadas a estas, deben presentar evidencias respecto a:

a) Conclusiones de la auditoría.

b) Criterios de selección de muestras, procedimientos y alcance aplicados a las cuentas y áreas revisadas de las mismas.

c) Aspectos no auditados y su justificación

d) Evidencia de la revisión por parte del socio - gerente a cargo de la auditoría.

e) Resumen pormenorizado de los ajustes, reajustes y/o reclasificaciones resultantes de la revisión practicada a los estados financieros y estados conexos.

Si la Firma tiene indicios o certeza que tendrá limitaciones en el alcance de su examen o que emitirá una opinión calificada, deberá comunicarlo al Superintendente.
Artículo 25. Exámenes aplicables.- Las Firmas deberán evaluar y emitir informe, por lo menos al cierre de cada período contable, opinando sobre la razonabilidad de los estados financieros de la CRP, considerando el funcionamiento integral del sistema de control interno y la evaluación del cumplimiento de las leyes y regulaciones aplicables a dichas entidades, principalmente las emitidas por la Superintendencia.

Deberá adjuntarse al informe de la Firma sobre los estados financieros la información siguiente:

1. Balance General Auditado.

2. Estado de Resultados Auditado.

3. Estado de Cambios en el Patrimonio Auditado.

4. Estado de Flujo de Efectivo Auditado.

5. Notas a los Estados Financieros Auditados requeridas en esta Norma.

6. Balance General Antes de Ajuste.

7. Informe pormenorizado sobre los ajustes y reclasificaciones propuestos registrados por la entidad, especificando los efectos de los débitos y créditos en cada una de las cuentas de los estados financieros.

8. Cualquier otra información de importancia que los Auditores Externos tengan a bien agregar.

Artículo 26. Dictámenes de los estados financieros.- El dictamen de los estados financieros deberá contener la opinión de la Firma respecto de la razonabilidad de dichos estados tomados en su conjunto, de acuerdo con la base integral de contabilidad establecida para estas entidades. Si hubieran calificaciones al dictamen, éstas deberán estar claramente identificadas y, cuando corresponda, cuantificadas dentro del mismo.

Artículo 27. Notas a los estados financieros.- Las Firmas deberán comprobar que las CRP cumplan con revelar en las Notas a los Estados Financieros información cuya revelación es requerida por las Normas Internacionales de Información Financiera (NIIF) o los principios de Contabilidad Generalmente Aceptados en los Estados Unidos de América (USGAAP), según el caso. Si en cualquiera de los casos las NIIF o, en su defecto, los USGAAP aceptasen varias alternativas como válidas, se debe optar siempre por la posición más conservadora.

Artículo 28. Informes complementarios.- Las Firmas deberán emitir informes complementarios individuales sobre cada uno de los siguientes aspectos:

1. Evaluación del Sistema de Control Interno inherente al proceso de recopilación, mantenimiento y actualización de la información crediticia de los Titulares; así como, el manejo apropiado de la información de los mismos con base a las disposiciones del artículo 113 de la Ley General de Bancos y otras establecidas en la presente norma.

2. Evaluación de las medidas de seguridad y controles existentes en los sistemas de informática y los mecanismos establecidos por dicha entidad para la protección de los mismos;

3. Evaluación del Plan de Contingencia establecido por la CRP;

Artículo 29. Hallazgos.- Cada hallazgo revelado en los informes antes descritos deberá contener los siguientes atributos:

a) Condición: Es la revelación de lo que el auditor encontró, la cual se debe redactar en forma breve con información suficiente, con ejemplos de los errores o irregularidades encontradas; así como la calificación acerca de la relevancia e impacto del hallazgo respectivo (bajo, medio, alto).

b) Criterio: Es la revelación de lo que debiera existir o cumplirse respecto a las leyes, normas de control interno, manuales de funciones y procedimientos, políticas y cualquier otra disposición escrita. La identificación del criterio es muy importante para resaltar la importancia del hallazgo o deficiencia encontrada.

c) Causa: Es la revelación de las razones por las cuales sucedió la deficiencia o el hallazgo; entre las que se destacan la falta de:

i. Una adecuada estructura organizacional;

ii. El establecimiento de manuales de procedimientos que incluyan la aplicación de normas e instructivos previamente establecidos;

iii. Una adecuada delegación de autoridad;

iv. Una adecuada segregación de funciones;

v. Establecimiento de políticas de capacitación al personal;

vi. Establecimiento de una adecuada comunicación entre las diferentes áreas;

vii. Contratación de recursos humanos adecuados;

viii. Asignación de suficientes recursos materiales para el desarrollo de funciones;

ix. Código de ética, conducción de los negocios y de honestidad entre los funcionarios;

x. Establecimiento de políticas de incentivo o motivación al personal operativo;

xi. Una adecuada supervisión por parte de las áreas de control; y xii. otras que puedan surgir en la revisión efectuada.

d) Efecto: Es la consecuencia o riesgos potenciales que puede afectar la integridad y situación financiera de la institución, si persistiera la condición determinada por el auditor.

e) Recomendación: Constituye la sugerencia del auditor para superar o corregir los hallazgos o las deficiencias determinados.

f) Comentarios de la Administración: Son las manifestaciones obligatorias de la administración de la entidad auditada, respecto a la deficiencia señalada por el auditor y las medidas correctivas que implementará. Debe identificar de forma clara, los procedimientos y mecanismos necesarios que serán implementados para evitar o prevenir la reincidencia de dichas deficiencias y el plazo de tiempo requerido para la implementación de las mismas.

En el caso que las Firmas identifiquen problemas que no permitan la realización de los exámenes de manera adecuada, deberán comunicarlo de inmediato al Superintendente, e indicar en los respectivos informes las razones que impidieron dicha evaluación.

Artículo 30. Plazos para la presentación de informes.- La fecha límite de presentación del informe sobre los estados financieros auditados, informe sobre la evaluación del sistema de control interno y sobre el cumplimiento de la Ley y la presente Norma; así como, los informes complementarios requeridos en esta Norma, deberá efectuarse dentro de los noventa (90) días siguientes al cierre de cada ejercicio auditado.

Artículo 31. Información de hechos significativos.- Las Firmas tienen la obligación de comunicar por escrito al Superintendente dentro de los tres (3) días de haber tomado conocimiento, los hechos significativos que detecten en el proceso de auditoría a las CRP, sin perjuicio de incluirlos en los informes correspondientes.
Artículo 32. Sanciones.- El Superintendente podrá establecer las siguientes sanciones por las irregularidades en que incurra la CRP:

1. Sanción pecuniaria, conforme lo establecido en la Ley General de Bancos y la normativa que regula la materia de multas;

2. La suspensión temporal del acceso a la base de datos proveniente de las entidades supervisadas; y

3. La suspensión definitiva del acceso a dicha base de datos.

Artículo 33. Sanción Pecuniaria.- El Superintendente podrá aplicar sanción pecuniaria conforme lo establecido en la Ley General de Bancos y en la normativa que regula la materia de multas, cuando se incurra en cualquiera de las siguientes situaciones:

1. Solicitar y proporcionar información distinta a la autorizada conforme lo establece la presente Norma;

2. Realizar actividades distintas a las de su objeto principal;

3. Negarse a facilitar el acceso a la información crediticia, al Titular de la misma;

4. Denegar una solicitud de revisión o una solicitud de rectificación de la información crediticia del Titular;

5. Negarse a modificar o a cancelar la información de un Titular luego de que este haya tenido un pronunciamiento favorable conforme el procedimiento establecido en el Capítulo IV de la presente Norma;

6. Alterar, modificar o eliminar reiteradamente algún registro de su base de datos, salvo los supuestos previstos en la presente Norma;

7. Negarse a proporcionar información y documentos a la Superintendencia; y

8. Que infrinja cualquier otra disposición establecida en la presente Norma. Las CRP son responsables por incurrir en las infracciones antes tipificadas, sin perjuicio de la responsabilidad que pudiera corresponder a las fuentes de las que hubieren recolectado la información.

Artículo 34. Suspensión temporal.- El Superintendente, sin perjuicio de las sanciones que correspondan, podrá suspender temporalmente el uso de la información proveniente de las entidades supervisadas contenida en sus bases de datos, cuando se incurra de manera reiterada en cualquiera de las situaciones contenidas en el artículo anterior.

Artículo 35. Suspensión definitiva.- Cuando la CRP incurra de manera grave, a juicio del Superintendente, en cualesquiera de las situaciones mencionadas en el artículo 33 de la presente Norma o en violaciones a lo dispuesto en el artículo 113 de la Ley General de Bancos, el Superintendente, sin perjuicio de las sanciones que correspondan, mediante resolución dictada al efecto podrá ordenar la cancelación definitiva de la autorización del uso de la base de datos con información proveniente de las entidades supervisadas.

Artículo 36. Disolución y liquidación.- Cuando se acuerde la disolución y liquidación de la CRP, dicha CRP deberá ajustarse a los procedimientos que el Superintendente le señale en relación con el manejo y control de la información proveniente de las entidades supervisadas, contenida en su base de datos.
Artículo 37. Responsabilidad ante la Superintendencia.- La CRP deberá informar de inmediato al Superintendente cuando se den cambios en la composición accionaria, adjuntando los soportes que respalden dichos cambios.

Cualquier modificación a los estatutos sociales de la CRP deberá ser sometida a la aprobación previa del Superintendente, para su posterior inscripción en el Registro Público.

En el cumplimiento de su objeto social, la CRP deberá responder a observaciones efectuadas por el Superintendente en el desempeño de sus actividades, para el efecto, éste podrá solicitar en cualquier momento toda la información que precise para evaluar reclamos, denuncias o irregularidades detectadas.

Toda la información que la CRP obtenga de las entidades supervisadas deberá estar permanentemente a la disposición de la Superintendencia.

Artículo 38. Área encargada de atender consultas y reclamos.- Las CRP establecerán los procedimientos internos necesarios para brindar una eficiente, efectiva y oportuna atención a las solicitudes de rectificación presentadas por los Titulares de la información en caso que consideren que la información contenida en las bases de datos es inexacta, errónea o caduca.

Artículo 39. Modificación de anexos.- Se faculta al Superintendente para realizar las modificaciones que sean necesarias a los anexos de la presente Norma, los cuales son parte integrante de la misma.

Artículo 40. Transitorio.- Las CRP que a la entrada en vigencia de la presente norma se encuentren operando deberán cumplir con lo siguiente:

1. Ajustar los contratos vigentes que hayan suscrito con Usuarios permanentes de conformidad con lo establecido en el artículo 8 de estas disposiciones, a más tardar en el plazo de sesenta (60) días contados a partir de la entrada en vigencia de esta Norma;

2. Para el cumplimiento de lo aspectos referentes a las auditorias externas el primer período a considerarse serán los estados financieros al 31 de diciembre de 2009.

Artículo 41. Derogación.- Deróguese la Norma sobre Centrales de Riesgo Privadas contenida en Resolución Nº CD-SIBOIF-454-2-NOV28-2006, de fecha 28 de noviembre de 2006, publicada en La Gaceta, Diario Oficial Nº 24, del 2 de febrero de 2007.

Artículo 42. Vigencia.- La presente Norma entrará en vigencia a partir de su publicación en La Gaceta, Diario Oficial.

El que suscribe declara ante Notario Público que:

1. No es directa ni indirectamente, deudor moroso de cualquier banco o institución sujeta a la vigilancia de la Superintendencia de Bancos, ni ha sido declarado judicialmente en estado de insolvencia, concurso o quiebra;

2. No es directa ni indirectamente titular, socio o accionista con control accionario o administrativo sobre sociedades que tengan créditos vencidos por más de noventa (90) días o por un número de tres veces durante un período de doce meses, o que están en cobranza judicial en la misma empresa o en otra del Sistema Financiero;

3. No ha sido sancionado en los quince (15) años anteriores por causar perjuicio patrimonial a un banco, o a la fe pública alterando sus estados financieros;

4. No ha participado como director, gerente, subgerente o funcionario de rango equivalente de un banco que haya sido sometido a procesos de intervención y de declaración de estado de liquidación forzosa, ni le han establecido por resolución judicial o administrativa del Superintendente, responsabilidades, presunciones o indicios que lo vinculen a las situaciones antes mencionadas;

5. No ha sido condenado por delitos de naturaleza dolosa que merezcan penas más que correccionales.
El que suscribe declara ante Notario Público que:

1. Cumple con los requisitos de independencia e idoneidad a que se refiere la presente Norma.

2. Conoce las normas internacionales de información financiera, normas internacionales de auditoría, las leyes bancarias y financieras y las normas prudenciales dictadas por la Superintendencia de Bancos y de Otras Instituciones Financieras, y se compromete a cumplirlas.

3. Conoce las disposiciones legales que regulan las actividades de las CRP y se compromete a mantenerse actualizado respecto a los cambios que experimenten.

4. Conoce y acepta las obligaciones y responsabilidades establecidas por la ley y la normativa vigente sobre el sigilo bancario y la confidencialidad de la información obtenida.

5. Toda la información y documentación presentada a la Superintendencia es verdadera y, por lo tanto, se somete en todo momento a las verificaciones que las autoridades administrativas requieran, bien advertido de las consecuencias que implican el falso testimonio.
Las Firmas, sus socios, directores, administradores, auditor responsable del trabajo de auditoría y demás miembros de su equipo y en general, quienes suscriban informes, deberán ser personas idóneas e independientes de la CRP auditada a la fecha de celebración del contrato de prestación de servicios y durante el desarrollo de la auditoría. Se considera que no existe independencia e idoneidad cuando cualquiera de las personas antes mencionadas, según el caso, se ubique en alguno de los supuestos siguientes:

I. INDEPENDENCIA:

a) Cuando los ingresos anuales que perciba la Firma provenientes de la CRP o de las personas jurídicas integrantes del grupo de interés económico al cual la CRP pertenece, derivados de la prestación de todos sus servicios, representen en su conjunto el 25% o más de los ingresos totales de la Firma durante el año inmediato anterior a aquél en que pretenda prestar el servicio.

b) Cuando haya sido cliente o proveedor importante de la CRP o de las personas jurídicas integrantes del grupo de interés económico al cual la CRP pertenece, durante los dos años inmediatos anteriores a aquél en que pretenda prestar el servicio.

Se considera que un cliente o proveedor es importante, cuando sus ventas o, en su caso, compras a las CRP o a las personas jurídicas integrantes del grupo de interés económico al cual la CRP pertenece, representen en su conjunto el 20% o más de sus ventas totales o, en su caso, compras totales.

c) Cuando sea o haya sido durante los dos años inmediatos anteriores a su participación dentro de la Firma, director, gerente o ejecutivo principal, así como cualquier empleado que ocupe un cargo dentro de los dos niveles inmediatos inferiores a este último en la CRP o en las personas jurídicas integrantes del grupo de interés económico al cual la CRP pertenece.

d) Cuando los socios, directores, administradores, auditor responsable del trabajo de auditoría y demás miembros de su equipo y en general, quienes suscriban informes, así como el cónyuge y familiares de estos, hasta el segundo grado de consanguinidad y segundo de afinidad, tengan directamente o mediante persona jurídica, inversiones en acciones, instrumentos de deuda o instrumentos derivados sobre acciones de la CRP o de las personas jurídicas integrantes del grupo de interés económico al cual la CRP pertenece.

e) Cuando las CRP o las personas jurídicas integrantes del grupo de interés económico al cual la CRP pertenece, tengan inversiones en la Firma que realiza la auditoría.

f) Cuando la Firma o alguno de sus socios, directores, administradores, auditor responsable del trabajo de auditoría y demás miembros de su equipo y en general, quienes suscriban informes, proporcione a su vez a la CRP, adicionalmente al de auditoría, servicios de contabilidad; de operación de sistemas de información; de administración de su red local; de operación, supervisión, diseño o implementación de sistemas informáticos (hardware y software); de valuaciones, avalúos o estimaciones; de administración; de auditoría interna; de representación y resolución de conflictos legales y tributarios; de reclutamiento de personal; de capacitación; de consultorías, entre otros.

g) Cuando los ingresos que la Firma perciba o vaya a percibir por auditar los estados financieros de las CRP dependan del resultado de la propia auditoría o del éxito de cualquier operación realizada por éstas, que tenga como sustento el dictamen de dichos estados financieros.

IDONEIDAD:

a) Los que sean deudores morosos, directos o indirectos, por más de 90 días o por un número de tres veces durante un período de doce meses, de cualquier banco o institución financiera no bancaria sujeta a la vigilancia de la Superintendencia;

b) Los que hubiesen sido declarados judicialmente en estado de insolvencia, concurso o quiebra o que hubieren sido calificados judicialmente como responsables de una quiebra culposa o dolosa.

c) Los que hayan sido condenados administrativa o judicialmente por su participación en infracción grave a las leyes y normas de carácter financiero.

d) Los que hayan sido condenados por delitos de naturaleza dolosa que merezcan penas más que correccionales.

e) Los que hayan sido sancionados por la Contraloría General de la
República.

(f) Antenor Rosales B. (f) V. Urcuyo V. (f) Gabriel Pasos Lacayo (f) Roberto Solórzano Ch. (f) A. Cuadra G. (f) U. Cerna B. (f) URIEL CERNA BARQUERO, Secretario Consejo Directivo SIBOIF.