Responsabilidad objetiva
La entidad responde por la sustracción de fondos de las cuentas de sus clientes, independientemente de la existencia de culpa (Ley 7472, art. 35, reformado por la Ley 10.889).
Ley 10.889 · Reglamento SUGEF 5-26 · Costa Rica
Cada reclamo por fraude activa cinco plazos. Téngalos bajo control.
La Ley 10.889 hace a su entidad responsable por los fondos sustraídos a sus clientes, salvo las eximentes legales. Descubra gratis dónde está y obtenga los 22 artefactos para cumplir.
Sin costo · Guarda y retoma cuando quiera · Resultado al terminar
Lo que cambió
La carga de la prueba ahora es de su entidad
Desde el 22 de abril de 2026 rige la Ley 10.889, y desde el 11 de septiembre de 2026, el Reglamento SUGEF 5-26. Cuando un cliente reclama una transacción que no autorizó, su entidad responde aunque no haya culpa, y es ella la que debe demostrar que sus controles funcionaron.
Prueba invertida
En sede administrativa y judicial rige la inversión de la carga de la prueba en favor de la persona consumidora (Ley 10.889, arts. 6 y 7).
Solo tres causales de rechazo
Autofraude, dolo o transferencia entre cuentas del mismo titular, con prueba propia y específica del caso (Ley 10.889, art. 3, inciso b).
El reloj del reclamo
Cinco plazos que empiezan a correr con el reclamo
-
Al recibirlo
Código de seguimiento con fecha y hora, y bloqueo inmediato del producto (art. 4).
-
Día 30
Resolver el reclamo, en días naturales; una sola prórroga de hasta 10 días hábiles, avisada antes (art. 3).
-
Si procede
Acreditar los fondos en 10 días naturales y eliminar intereses y cargos (art. 3).
-
Si resuelve tarde
Compensación de un salario base al cliente, aunque el reclamo no proceda (art. 5).
-
Día 120
La entidad ya no puede resolver y debe restituir en 10 días naturales (art. 5).
Una transacción no autorizada que ocurre después del reclamo es responsabilidad de la entidad (art. 3).
Cada plazo, con su semáforo
El tablero de plazos de reclamos (artefacto 8.1 del toolkit) calcula los cinco plazos de cada reclamo y marca en rojo los que están por vencer. Datos de ejemplo.
Reglamento SUGEF 5-26
Lo que el reglamento pide demostrar
Antes de rechazar un reclamo, la entidad tiene que demostrar que cumple los controles mínimos del reglamento y que sus sistemas no fueron vulnerados (Ley 10.889, art. 3; Reglamento SUGEF 5-26, art. 8).
Una estrategia contra las estafas informáticas, basada en una evaluación de riesgos y aprobada por el Órgano de Dirección (art. 3).
Un registro estadístico de cada caso, con su tipología, canal y factores de autenticación, a disposición de SUGEF (art. 4).
Monitoreo de patrones transaccionales, dispositivos y comportamiento, con confirmación antes de ejecutar una transacción atípica (art. 12).
Doble factor de autenticación para ingresar, en las transacciones de riesgo y en la autogestión (art. 13).
Notificaciones en menos de un minuto, con evidencia de cada envío y sin enlaces acortados en los correos (arts. 15 y 16).
Un umbral, fijado por costo-beneficio, bajo el cual la entidad devuelve el monto sin una investigación detallada (art. 11).
Autodiagnóstico gratuito
Descubra en una sesión cómo cumple su entidad
98 preguntas: 11 de perfil inicial y 87 en 10 dominios, escritas a partir del texto literal de la ley y el reglamento. Cada pregunta le dice qué área de su entidad tiene la respuesta, así que puede guardar, consultar y retomar.
Hacer el autodiagnóstico gratisLo que obtiene
- Índice de conformidad, ponderado por lo que más le cuesta a su entidad si falla.
- Índice de certeza: cuánto de su resultado se apoya en información confirmada.
- Índice de respaldo: cuánto de lo que declara cumplir puede demostrar.
- Hallazgos priorizados en tres olas, empezando por los que tienen consecuencias económicas directas.
- El artefacto del toolkit que cierra cada brecha.
Lo que no hace
No estima multas, porque la norma no permite construir esa cifra, y no revisa documentos.
El toolkit
22 artefactos listos para adaptar, con la cita exacta de la norma
No parte de una hoja en blanco. Cada documento trae la obligación, su artículo y los campos que su entidad completa: 15 documentos Word y 7 libros Excel.
Operar el reclamo desde el primer minuto
Protocolo de emergencia (4.3) · Procedimiento de reclamos (4.1) · Formulario de reclamo (4.2) · Tablero de plazos en Excel (8.1)
Decidir lo que la ley deja al Órgano de Dirección
Estrategia contra estafas (3.1) · Política de devolución bajo umbral (3.2) · Análisis costo-beneficio del umbral (6.2) · Acuerdo modelo (7.1)
Sostener un rechazo con evidencia
Procedimiento de rechazo y remisión a SUGEF y al OIJ (4.4) · Notificaciones (4.5) · Autenticación y protección de la información (3.3)
Construir la prueba de sus controles
Monitoreo transaccional y bloqueos preventivos (3.4) · Evaluación de riesgos por canal (6.1) · Inventario de canales (2.1) · Registro estadístico (2.2)
Sostener el programa en el tiempo
Programa de ciberhigiene (3.5) · Plan de capacitación (7.2) · Reporte de cuentas (4.6) · Bitácora de vigilancia (8.2)
Incluye además la guía del autodiagnóstico (1.1), la guía de implementación (G.1) y el catálogo con la trazabilidad de cada control (C.1).
Una fecha que no esperó
El protocolo de emergencia tiene fecha legal: 22 de octubre de 2026
La ley dio seis meses desde su vigencia para tener en operación el protocolo que todo su personal aplica cuando un cliente dice que fue estafado, o que lo están estafando. El protocolo requiere autorización previa de la SUGEF y una actualización al menos una vez al año (Ley 10.889, art. 11 y Transitorio II; Reglamento SUGEF 5-26, art. 10). El artefacto 4.3 trae los ocho pasos de atención inmediata, alineados con los controles del reglamento.
Precio
Todo el toolkit, en un solo pago
USD 199
Pago único
22 artefactos (15 Word y 7 Excel) · guía de implementación · trazabilidad control por control
Autodiagnóstico: gratuito, siempre
Obtener el toolkitEl toolkit y el autodiagnóstico son herramientas de apoyo y no constituyen asesoría legal. Cada artefacto debe ser revisado, adaptado y aprobado por el oficial de cumplimiento y el área legal de la entidad antes de usarse.
Cómo funciona
De la brecha al documento aprobado, en tres pasos
-
Haga el autodiagnóstico
Gratis, en una sesión; cada pregunta le dice qué área responde.
-
Obtenga el toolkit
Cada hallazgo le indica qué artefacto lo cierra.
-
Adapte y apruebe
Completa los campos de su entidad, y su oficial de cumplimiento y su área legal lo aprueban.
En la plataforma
Del documento aprobado al control que se sigue todos los días
El toolkit le da el marco documental. Para operarlo, el módulo de Gestión de Gobierno Corporativo (Compliance Agent) lleva cada obligación de la Ley 10.889 y del Reglamento SUGEF 5-26 con su control, su responsable, su plazo y su evidencia, y le muestra al Órgano de Dirección dónde está la entidad. Los controles técnicos, como el doble factor o las notificaciones, viven en sus canales digitales; la plataforma gobierna su cumplimiento.
Gestión de Gobierno Corporativo
Por qué confiar en este toolkit
Construido desde el texto de la norma, no desde un resumen
Cada cita es literal y se verificó contra el texto oficial vigente: SINALEVI y La Gaceta.
Donde la norma no define, se lo decimos. Esas lecturas van marcadas como recomendación, y la decisión es de su oficial de cumplimiento y su área legal.
No inventamos cifras. Si la norma no permite calcular una multa, el diagnóstico no la estima.
Fecha de corte visible: 15 de octubre de 2026. La bitácora 8.2 registra lo que la SUGEF aún no dicta y las acciones de inconstitucionalidad en trámite contra la ley.
Lo que más nos preguntan sobre la Ley 10.889
¿A quién aplica la Ley 10.889 en Costa Rica?
La Ley 10.889 aplica a las entidades financieras supervisadas definidas en la Ley Orgánica del Banco Central, Ley 7558, sean públicas o privadas (art. 2). En la práctica, a las que supervisa la SUGEF: bancos públicos y privados, cooperativas de ahorro y crédito, financieras, mutuales y demás entidades supervisadas. Su Reglamento SUGEF 5-26 rige para esas mismas entidades. El autodiagnóstico gratuito de Snap Compliance empieza por un perfil inicial que confirma si a su entidad le aplica y en qué alcance.
¿Qué cambia con la Ley 10.889 para las entidades financieras?
Cambian dos cosas de fondo. La entidad responde por la sustracción de fondos de las cuentas de sus clientes aunque no haya culpa, cuando la comete un tercero no autorizado (Ley 7472, art. 35, reformado por la Ley 10.889). Y la carga de la prueba se invierte en favor de la persona consumidora, en sede administrativa y judicial (arts. 6 y 7). Por eso la entidad debe poder demostrar sus controles: el toolkit de la Ley 10.889 trae los documentos que sostienen esa prueba.
¿Cuánto tiempo tiene una entidad para resolver un reclamo por fraude electrónico?
Treinta días naturales desde que la persona presenta el reclamo, ampliables una sola vez por hasta diez días hábiles, avisando tres días antes del vencimiento (Ley 10.889, art. 3). Si resuelve tarde, compensa con un salario base, proceda o no el reclamo; y a los 120 días naturales sin resolver, pierde la posibilidad de hacerlo y restituye en diez días (art. 5). El tablero de plazos del toolkit de la Ley 10.889 calcula estos cinco plazos para cada reclamo.
¿En qué casos puede una entidad rechazar un reclamo por fraude?
Solo en tres: autofraude, dolo o transferencia entre cuentas del mismo titular, y siempre con prueba propia y específica del caso (Ley 10.889, art. 3, inciso b). Antes, la investigación debe demostrar que la entidad cumple los controles que exige la SUGEF y que sus sistemas no fueron vulnerados. La resolución que deniega el reclamo va con su evidencia y copia al OIJ y a la SUGEF. El procedimiento 4.4 del toolkit de la Ley 10.889 ordena ese expediente.
¿Qué exige el Reglamento SUGEF 5-26?
Es el reglamento de controles mínimos contra las estafas informáticas que pidió la Ley 10.889, vigente desde el 11 de septiembre de 2026. Exige una estrategia aprobada por el Órgano de Dirección, un registro estadístico de casos, monitoreo multifactorial de transacciones y dispositivos, doble factor de autenticación, notificaciones en menos de un minuto sin enlaces acortados, un protocolo de emergencia autorizado por la SUGEF y un umbral de devolución. Compliance Agent lleva esos controles con su responsable y su plazo.
¿Desde cuándo debe operar el protocolo de emergencia de la Ley 10.889?
La ley dio seis meses desde su vigencia, el 22 de abril de 2026, para tener en operación el protocolo de atención a las víctimas de estafas: el plazo es el 22 de octubre de 2026 (Transitorio II). Debe estar autorizado previamente por la SUGEF, actualizarse al menos una vez al año y aplicarlo todo el personal (Ley 10.889, art. 11; Reglamento SUGEF 5-26, art. 10). El artefacto 4.3 del toolkit de la Ley 10.889 trae los ocho pasos de atención inmediata.
¿El autodiagnóstico de la Ley 10.889 tiene costo?
No. El autodiagnóstico de Snap Compliance es gratuito y puede hacerlo sin comprar el toolkit. Son 98 preguntas, 11 de perfil inicial y 87 en 10 dominios, escritas a partir del texto literal de la ley y del Reglamento SUGEF 5-26. Se completa en una sesión, y puede guardarlo y retomarlo para consultar a las áreas que tienen la información. Al terminar recibe sus índices de conformidad, certeza y respaldo, y los hallazgos priorizados en tres olas.
¿El autodiagnóstico me dice cuánto podría ser una multa?
No. Las sanciones de la Ley 7558, a la que remite la Ley 10.889 (art. 14), se fijan como un porcentaje del patrimonio de cada entidad, y la norma no define cómo se suman varias infracciones. Preferimos no darle una cifra que la norma no permite construir. Sí le explicamos las consecuencias por reclamo: restitución, compensación de un salario base y responsabilidad por las transacciones posteriores al reclamo. Lo hace el autodiagnóstico gratuito.
¿Qué incluye el toolkit de la Ley 10.889 y cuánto cuesta?
El toolkit de la Ley 10.889 cuesta USD 199, en un solo pago, e incluye 22 artefactos: 15 documentos Word y 7 libros Excel. Entre ellos, el protocolo de emergencia, el procedimiento de reclamos y su formulario, las políticas que exige la SUGEF, el acuerdo modelo del Órgano de Dirección y el tablero de plazos de reclamos. Cada documento trae la obligación, su artículo y los campos que su entidad completa. Están en español, el idioma de la norma.
¿Los documentos del toolkit son asesoría legal?
No. El toolkit y el autodiagnóstico son herramientas de apoyo para avanzar más rápido, y no constituyen asesoría legal. Cada artefacto debe ser revisado, adaptado y aprobado por el oficial de cumplimiento y el área legal de su entidad antes de usarse. Donde la norma no define algo, el documento lo marca como recomendación para que esa decisión la tome su entidad. Para llevar después cada control en el día a día, está Compliance Agent.
Su próximo reclamo ya tiene fecha de inicio. ¿Su entidad tiene el plan?
El toolkit y el autodiagnóstico son herramientas de apoyo y no constituyen asesoría legal. Cada artefacto debe ser revisado, adaptado y aprobado por el oficial de cumplimiento y el área legal de la entidad antes de usarse.