Los bancos en Colombia tendrán que devolver el dinero a clientes cuando haya retiros inusuales de sus cuentas: estas son las condiciones

Un nuevo fallo sobre devolución por retiros no autorizados en Colombia fijó un criterio que puede cambiar la respuesta de los bancos ante los reclamos de sus clientes. Ahora no basta con alegar que la operación se hizo con la tarjeta física y la clave, sino que también hay que probar si la entidad activó controles eficaces frente a movimientos inusuales.

Así lo establece una nueva medida de la Superintendencia Financiera de Colombia, que expone que un banco debe devolver dinero por retiros no autorizados cuando no logra demostrar que aplicó perfil transaccional, alertas preventivas, monitoreo reforzado, medidas de contención y procedimientos de autenticación adecuados al riesgo de la operación. La sentencia, fechada el 31 de julio de 2026, añade que la devolución puede ser total o parcial si también hubo incumplimientos del cliente.

La decisión salió de la Delegatura para Funciones Jurisdiccionales de la Superintendencia Financiera de Colombia al resolver la demanda presentada por el ciudadano Alfonso Herrera Cedeño contra Banco Davivienda S.A.. El expediente gira alrededor de retiros que el demandante dijo no haber hecho ni autorizado, por un total de $9.664.000.

Al respecto, el banco sostuvo que las operaciones se hicieron con la tarjeta débito física y la clave del cliente, y culpó de lo ocurrido a un incumplimiento de los deberes de custodia del usuario. Pero la sentencia descartó que ese elemento cierre por sí solo el debate sobre la responsabilidad.

Debido a ellos, la Superintendencia recordó que, por la naturaleza riesgosa de la actividad bancaria, las entidades tienen deberes especiales de seguridad. También citó jurisprudencia de la Corte Suprema de Justicia para resaltar que “la institución financiera no puede exonerarse del deber de indemnizar con la simple prueba de haber obrado de manera diligente”.

Esa misma línea jurisprudencial añade otra exigencia para las entidades. “Todos esos canales transaccionales hacen necesario definir un protocolo de autenticación que le permita al banco establecer, con certeza, el origen de cada orden impartida”, dice.

Qué deben probar los bancos ante un retiro no autorizado

El fallo enumera deberes concretos que la regulación financiera ya impone a las entidades vigiladas. Entre ellos figuran:

• Elaboración de un perfil transaccional de cada cliente.
• Confirmación oportuna de operaciones monetarias que no coincidan con sus hábitos.

La sentencia también destaca la obligación de establecer procedimientos de bloqueo cuando existan hechos que lo ameriten. A eso se suman:

• Alertas preventivas.
• Monitoreo reforzado.
• Medidas de contención si el patrón de uso revela un posible fraude.

Al respecto, la Circular Básica Jurídica se cita como base para identificar hábitos, patrones, prácticas y costumbres en el uso de los productos financieros. El insumo debe servir para confirmar operaciones ajenas al comportamiento habitual del cliente y para activar respuestas antes de que el perjuicio aumente.

El documento también menciona reglas sobre autenticación para transacciones con mayor exposición al fraude o a la suplantación. El análisis, según la regulación de la Superintendencia Financiera de Colombia, debe tener en cuenta variables como perfil transaccional, monto de las operaciones, tipo de producto y canal utilizado. De todos modos, la sentencia hace una precisión para los casos presenciales. En operaciones con tarjeta física y clave, la ausencia de OTP (one-time password o contraseña de un solo uso), biometría o validaciones por aplicación móvil no prueba por sí sola una falla del servicio, porque esos mecanismos no forman parte ordinaria del canal analizado.

Lo decisivo, según la autoridad, es verificar si el banco cumplió los procedimientos de autenticación y autorización exigibles para ese canal y si reaccionó ante señales objetivas de atipicidad. Por eso la discusión no termina al confirmar que se usó el plástico legítimo y la clave correcta.

El caso que terminó en condena parcial a Davivienda

El caso concreto enfrentó a Herrera Cedeño con Banco Davivienda S.A. por retiros cargados a su cuenta de ahorros. El demandante pidió la restitución de $9.664.000, suma que el expediente judicial fija como el valor controvertido. La propia sentencia contiene una inconsistencia interna sobre la fecha de las operaciones. En una parte señala que los retiros ocurrieron el 23 de marzo de 2026, pero en el análisis del caso describe ocho retiros y dos adicionales realizados el 20 de marzo de 2026.

Davivienda alegó que las transacciones fueron presenciales y que para ejecutarlas se necesitó la tarjeta física y la clave de cuatro dígitos. También aportó la versión de que el demandante había sido víctima del hurto del medio transaccional en Cali y que el bloqueo quedó registrado el 24 de marzo de 2026.

La Superintendencia dio por acreditado que la tarjeta salió de la órbita de custodia del cliente por el hurto. También concluyó que no había prueba de un aviso inmediato al banco antes de los retiros, pese a que el usuario afirmó haber acudido minutos después del robo. Aun así, el punto que comprometió a la entidad fue otro. Las pruebas mostraron diez operaciones consecutivas por $9.664.000 en cerca de nueve minutos, una secuencia que la Delegatura consideró ajena al comportamiento histórico del titular.

El expediente señala que hubo:

• Ocho retiros de $700.000 cada uno.
• Dos retiros adicionales de $2.000.000 cada uno.
• Cobros asociados por uso de cajeros externos.

Para la autoridad, esa intensidad transaccional exigía una evaluación reforzada dentro de los modelos de monitoreo y gestión del fraude. La sentencia fue directa al valorar ese punto. “No se encuentra demostrado que la entidad hubiera generado alertas preventivas frente a la inusual concentración, frecuencia y cuantía de las operaciones realizadas”, anotó.

Cuándo la devolución puede ser total o compartida

La decisión no absolvió por completo al cliente ni trasladó toda la carga al banco. La Superintendencia Financiera de Colombia concluyó que hubo culpas compartidas porque el usuario incumplió deberes de custodia e información oportuna, mientras la entidad no acreditó una reacción adecuada ante operaciones atípicas.

El fallo retoma una subregla de la Corte Suprema, según la que “el banco podrá exonerarse de la carga indemnizatoria que se le endilga, probando que las circunstancias que originaron el desmedro patrimonial obedecieron a causas que no le son imputables”. Ese examen, añade la sentencia, obliga a determinar si solo una parte causó el daño o si ambos contribuyeron a él.

En el expediente, la Delegatura concluyó que la pérdida de la tarjeta explica el inicio de la cadena causal, pero no todo el daño final. El perjuicio se consolidó a través de una sucesión de retiros que, por su frecuencia, concentración temporal y valor acumulado, daban margen para una respuesta del banco. Por eso ordenó una reparación en partes iguales. Davivienda deberá reintegrar $4.832.000 al demandante dentro de un plazo máximo de 20 días contados desde la ejecutoria, y el cliente asumirá el 50% restante por la misma suma.

La sentencia también negó un pago adicional por $64.000 en comisiones de cajeros de otras redes, porque esa cantidad ya estaba comprendida dentro del valor total reclamado. Además, no impuso condena en costas.

La regla que deja esta decisión, según la Superintendencia Financiera, es que la devolución no depende solo de si la tarjeta y la clave llegaron a manos de un tercero. También pesa si el banco contaba con herramientas para detectar que la secuencia de retiros rompía de forma notoria el patrón del cliente y si actuó a tiempo para evitar que el perjuicio aumentara.