Panel | Publicacion DOF

CIRCULAR CONSAR 62-1, Reglas Prudenciales en materia de Administración de Riesgos a las que deberán sujetarse las administradoras de fondos para el retiro, las sociedades de inversión especializadas de fondos para el retiro y las empresas operadoras de la Base de Datos Nacional SAR.
Al margen un sello con el Escudo Nacional, que dice: Estados Unidos Mexicanos.- Secretaría de Hacienda y Crédito Público.- Comisión Nacional del Sistema de Ahorro para el Retiro.

CIRCULAR CONSAR 62-1

REGLAS PRUDENCIALES EN MATERIA DE ADMINISTRACION DE RIESGOS A LAS QUE DEBERAN SUJETARSE LAS ADMINISTRADORAS DE FONDOS PARA EL RETIRO, LAS SOCIEDADES DE INVERSION ESPECIALIZADAS DE FONDOS PARA EL RETIRO Y LAS EMPRESAS OPERADORAS DE LA BASE DE DATOS NACIONAL SAR.

El Presidente de la Comisión Nacional del Sistema de Ahorro para el Retiro, con fundamento en los artículos 5o., fracciones I, II y III; 12, fracciones I, VIII y XVI; 30, 42 bis, 48 fracción IX, 58, 59, 89, 90, 91 y 113 de la Ley de los Sistemas de Ahorro para el Retiro; 56, 89, 140, 144, 145 y 163 del Reglamento de la Ley de los Sistemas de Ahorro para el Retiro, y 15 fracciones I y XXXIII del Reglamento Interior de la Comisión Nacional del Sistema de Ahorro para el Retiro, y

CONSIDERANDO

Que a nivel mundial, la regulación de los distintos riesgos a los que se encuentran sujetas las entidades del sistema financiero ha sido una preocupación constante, por lo que se han desarrollado modelos y directrices que permitan administrarlos de forma eficiente;

Que se han realizado distintas reuniones a nivel mundial con el objeto de establecer criterios que permitan a los órganos reguladores y a las entidades del sistema financiero establecer modelos y metodologías que permitan administrar los riesgos;

Que es opinión aceptada entre los órganos reguladores a nivel internacional, que no basta con el cumplimiento de la regulación, sino que se requiere reforzar la estructura y control de las organizaciones financieras, mediante mecanismos internos de autorregulación y medición del riesgo que promuevan procesos eficientes para la reducción de costos, pérdidas y daños a los trabajadores en su patrimonio y derechos, así como la disminución en la imposición de sanciones por incumplimientos a las disposiciones legales aplicables;

Que mediante la administración integral de riesgos, se promueve el gobierno corporativo de las entidades del sistema financiero en beneficio de los usuarios de sus servicios;

Que es necesario que los participantes en los sistemas de ahorro para el retiro cuenten con un gobierno corporativo eficiente que les permita administrar integralmente los riesgos a los que se encuentran expuestas las cuentas individuales y los recursos de los trabajadores, así como la información correspondiente;

Que con base en la experiencia internacional, la Comisión Nacional del Sistema de Ahorro para el Retiro ha identificado la necesidad de que los participantes en los sistemas de ahorro para el retiro desarrollen un modelo que les permita una administración integral de riesgos de acuerdo con las características y gobierno corporativo de cada uno de dichos participantes;

Que el artículo 5o., fracción I, de la Ley de los Sistemas de Ahorro para el Retiro faculta a la Comisión Nacional del Sistema de Ahorro para el Retiro para regular, mediante la expedición de disposiciones de carácter general, lo relativo a la operación de los sistemas de ahorro para el retiro, determinando los procedimientos para su buen funcionamiento;

Que el artículo 5o., fracción II, de la Ley de los Sistemas de Ahorro para el Retiro faculta a la Comisión Nacional del Sistema de Ahorro para el Retiro para expedir las disposiciones de carácter general a las que habrán de sujetarse las administradoras de fondos para el retiro, las sociedades de inversión especializadas de fondos para el retiro y las empresas operadoras de la Base de Datos Nacional SAR, en cuanto a su constitución, organización, funcionamiento, operaciones y participación en los sistemas de ahorro para el retiro;

Que el artículo 5o., fracción III, de la Ley de los Sistemas de Ahorro para el Retiro faculta a la Comisión Nacional del Sistema de Ahorro para el Retiro para emitir, en el ámbito de su competencia, la regulación prudencial a que se sujetarán las administradoras de fondos para el retiro, las sociedades de inversión especializadas de fondos para el retiro y las empresas operadoras de la Base de Datos Nacional SAR;

Que el artículo 42 bis de la Ley de los Sistemas de Ahorro para el Retiro establece que las sociedades de inversión especializadas de fondos para le retiro deben contar con un comité de riesgos, el cual administrará los riesgos a que se encuentren expuestas dichas sociedades;

Que el artículo 58 de la Ley de los Sistemas de Ahorro para el Retiro, así como el título de concesión de la Base de Datos Nacional SAR, facultan a la Comisión Nacional del Sistema de Ahorro para el Retiro a emitir las disposiciones generales que permitan mantener el óptimo funcionamiento de los procesos, sistemas e infraestructura para la operación de la Base de Datos Nacional SAR por parte de las empresas operadoras, ha tenido a bien expedir las siguientes:

CAPITULO I OBJETO Y DEFINICIONES

PRIMERA.- Las presentes reglas tienen por objeto establecer los lineamientos mínimos a los que deberán sujetarse las administradoras de fondos para el retiro, las sociedades de inversión especializadas de fondos para el retiro y las empresas operadoras de la Base de Datos Nacional SAR, para implementar una adecuada administración del riesgo en los procesos relativos a:

I. La administración de las cuentas individuales de los trabajadores, por parte de las administradoras de fondos para el retiro;

II. El manejo e inversión de los recursos de los trabajadores por las sociedades de inversión especializadas de fondos para el retiro, y

III. La administración de la información relativa a los sistemas de ahorro para el retiro, por parte de las Empresas Operadoras.

SEGUNDA.- Para los efectos de las presentes reglas, se entenderá por:

Activos Objeto de Inversión, los Instrumentos, Valores Extranjeros, Componentes de Renta Variable, operaciones con Derivados, reportos y préstamo de valores;
Administración del Riesgo Financiero, al conjunto de objetivos, políticas, procedimientos y acciones que se implementen para identificar, medir, monitorear, limitar, controlar, informar y revelar los distintos tipos de riesgo a que se encuentran expuestas las Sociedades de Inversión;
Administración del Riesgo Operativo, al conjunto de objetivos, políticas, procedimientos y acciones que se implementen para identificar, medir, monitorear, limitar, controlar, informar y revelar el Riesgo Operativo a que se encuentran expuestas las Administradoras y las Empresas Operadoras;
Administradoras, las administradoras de fondos para el retiro;
Comisión, la Comisión Nacional del Sistema de Ahorro para el Retiro;
Comité de Inversión, al previsto en el artículo 42 de la Ley;
Comité de Riesgo Financiero, al previsto en el artículo 42 bis de la Ley;
Comité de Riesgo Operativo, al que tenga a su cargo la Administración del Riesgo Operativo a que estén expuestas las Administradoras y las Empresas Operadoras;
Contralor Normativo, al previsto, para las Administradoras, en el artículo 30 de la Ley y para las Empresas Operadoras, en el correspondiente Título de Concesión;
Componentes de Renta Variable, a los Instrumentos de Renta Variable y Valores Extranjeros de Renta Variable a los que está permitido vincular las Notas, que repliquen los índices o canasta de índices, previstos en las reglas de carácter general expedidas por la Comisión en materia de régimen de inversión, a través de Vehículos que confieran derechos sobre los mismos, acciones que los integren o Derivados. Los Componentes de Renta Variable sólo podrán adquirirse para estructurar Notas;
Custodio, al banco, casa de bolsa o entidad que reciba Instrumentos o valores para su guarda;
Derivados, las operaciones a Futuro, de Opción o de Swap, a que se refieren las Reglas a las que deberán sujetarse las sociedades de inversión especializadas de fondos para el retiro en la celebración de operaciones financieras conocidas como derivadas y sus modificaciones, expedidas por el Banco de México;
Divisas, los dólares de los Estados Unidos de América, euros, yenes y las demás monedas extranjeras incluidas en el régimen de inversión autorizado a las Sociedades de Inversión;
Emisores Extranjeros, a los Gobiernos, bancos centrales y agencias gubernamentales de países miembros del Comité Técnico de la Organización Internacional de Comisiones de Valores (IOSCO por sus siglas en idioma inglés), de la Unión Europea, a las entidades que emitan valores bajo la regulación y supervisión de éstos, así como a los organismos multilaterales;
Emisores Nacionales, al Gobierno Federal, Banco de México, empresas privadas, Estados, Municipios, Gobierno del Distrito Federal y entidades paraestatales, que emitan Instrumentos, así como las Entidades Financieras, que emitan, acepten o avalen dichos Instrumentos;
Empresas Operadoras, las empresas operadoras de la Base de Datos Nacional SAR;
Escenarios para la Medición del Riesgo Operativo, al conjunto de circunstancias supuestas que deben considerarse para la medición y evaluación del Riesgo Operativo en el ámbito legal, en el ámbito de los procesos operativos, así como en el ámbito informático;
Factor de Riesgo Operativo, al elemento o condición que no permita la consecución del objeto legal de las Administradoras a que se refiere el artículo 18 de la Ley;
Instrumentos, a todos aquellos valores de deuda y de renta variable que estén contemplados en el Régimen de Inversión Autorizado de la Sociedad de Inversión de que se trate, establecido en las reglas de carácter general expedidas por la Comisión en materia de régimen de inversión, emitidos por Emisores Nacionales; así como a los depósitos bancarios de dinero, operaciones de reporto o contratos de inversión que celebren las Sociedades de Inversión denominados en moneda nacional, Unidades de Inversión o Divisas;
Instrumentos de Deuda, a los activos objeto de inversión, cuya naturaleza corresponda a valores, títulos o documentos representativos de una deuda a cargo de un tercero, emitidos por Emisores Nacionales;
Ley, la Ley de los Sistemas de Ahorro para el Retiro;
Manual de Políticas y Procedimientos para la Administración del Riesgo Financiero, al que elabore cada Administradora para identificar, medir, monitorear, limitar, controlar, informar y revelar los distintos tipos de Riesgos Financieros a que se encuentran expuestas las Sociedades de Inversión;
Manual de Políticas y Procedimientos para la Administración del Riesgo Operativo, al que elabore cada Administradora o Empresa Operadora, según corresponda, para identificar, medir, monitorear, limitar, controlar, informar y revelar los distintos tipos de Riesgos Operativos a que se encuentran expuestas dichas entidades financieras y las Empresas Operadoras;
Metodología, la descripción del orden, forma, modo y procedimientos para hacer la medición de riesgos;
Modelo de Medición del Riesgo Operativo, al esquema teórico que se elabora para facilitar el análisis del Riesgo Operativo, de acuerdo con los principios, lineamientos y la metodología establecidos por la UAIR o la UARO;
Notas, los Instrumentos de Deuda o Valores Extranjeros de Deuda, con principal protegido a vencimiento ligados a uno o varios de los índices, o canasta de índices, establecidos en las reglas de carácter general expedidas por la Comisión en materia de régimen de inversión, así como a los Instrumentos de Deuda o Valores Extranjeros de Deuda que estructurados en conjunto con Componentes de Renta Variable se comporten como los anteriores;
Nivel de Tolerancia al Riesgo, la magnitud permisible de exposición a un tipo de Riesgo Operativo que se determine con base en la metodología que establezca la Administradora;
Operación Fuera de Mercado, la operación cuyas cotizaciones grabadas o documentadas y suscritas por el área de inversiones, sean más favorables que la concertación de la misma;
Parámetro, a la variable del modelo de Administración del Riesgo Operativo, o de Administración del Riesgo Financiero, que sirve para identificar cada uno de los factores de riesgo mediante un valor cuantificable;
Prestador de Servicio Independiente, la entidad externa a la Administradora o a las Empresas Operadoras, que se contrate para ejecutar actividades objeto de dichas entidades;
Prestadores de Servicios Financieros, las personas morales facultadas para operar con valores por cuenta de terceros, así como para ofrecer otros servicios relacionados con valores, como la asesoría en materia de inversiones, administración y gestión de activos, entre otros, que se encuentren sujetos a la regulación y supervisión de agencias gubernamentales de países miembros del Comité Técnico de la Organización Internacional de Comisiones de Valores (IOSCO por sus siglas en idioma inglés) y de la Unión Europea;
Proveedor de Precios, las personas morales autorizadas por la Comisión Nacional Bancaria y de Valores para la prestación habitual y profesional del servicio de cálculo, determinación y proveeduría o suministro de precios para la valuación de instrumentos financieros en términos de las disposiciones legales aplicables;
Régimen de Inversión Autorizado, al previsto en el prospecto de información conforme a las reglas generales que establecen el régimen de inversión al que deberán sujetarse las Sociedades de Inversión;
Riesgo Financiero, la posibilidad de ocurrencia de pérdidas por deficiencias o fallas en las operaciones financieras, en la tecnología de información, en los recursos humanos o cualquier otro evento externo adverso, a los que se encuentran expuestas las Sociedades de Inversión, entre los cuales se encuentran comprendidos, entre otros, los siguientes tipos de riesgos:

a. Riesgo de Crédito o Crediticio, la pérdida potencial por la falta de pago de una contraparte en las operaciones que efectúen las Sociedades de Inversión;

b. Riesgo de Liquidez, la pérdida potencial por la venta anticipada o forzosa de activos a descuentos inusuales para hacer frente a obligaciones, o bien, por el hecho de que una posición no pueda ser oportunamente enajenada, adquirida o cubierta mediante el establecimiento de una posición contraria equivalente, y

c. Riesgo de Mercado, la pérdida potencial por cambios en los factores de riesgo que incidan sobre la valuación de las posiciones, tales como tasas de interés, tipos de cambio e índices de precios, entre otros.

XXXV. Riesgo Operativo, a la posibilidad de ocurrencia de pérdidas por deficiencias o fallas en los procesos operativos, en la tecnología de información, en los recursos humanos o cualquier otro evento externo adverso, a los que se encuentran expuestas las Administradoras y las Empresas Operadoras, entre los cuales se encuentran comprendidos, entre otros, los siguientes tipos de riesgos:

a. Riesgo de Procesos Operativos, la pérdida potencial por el incumplimiento de políticas y procedimientos necesarios en la gestión de la administración de las cuentas individuales de los trabajadores y la inversión de sus recursos mediante el apego a normas internas y externas por parte de las Administradoras y las Empresas Operadoras;

b. Riesgo Legal, a la pérdida potencial por el incumplimiento de las disposiciones legales aplicables, la emisión de resoluciones administrativas y/o judiciales desfavorables, así como la aplicación de sanciones, en relación con las operaciones que las Administradoras y las Empresas Operadoras lleven a cabo, y

c. Riesgo Tecnológico, a la pérdida potencial por daños, interrupción, alteración o fallas derivadas en los sistemas físicos e informáticos, aplicaciones de cómputo, redes y cualquier otro canal de distribución necesarios para la ejecución de procesos operativos por parte de las Administradoras y las Empresas Operadoras.

Riesgo Operativo de SIEFORE, la pérdida potencial por fallas o deficiencias en los sistemas de información, en los controles internos o por errores en el procesamiento de las operaciones de las Sociedades de Inversión;
Sistemas de Medición, al programa informático que efectúa la administración de los parámetros de Riesgo Operativo y Riesgo Financiero, así como el almacenamiento, procesamiento y manejo de la información que permita la Administración del Riesgo Operativo y del Riesgo Financiero;
Sistema de Monitoreo de Valores, al sistema informático que permita verificar y monitorear el estatus de los traspasos de valores;
Sociedades de Inversión, las sociedades de inversión especializadas de fondos para el retiro;
Valor en Riesgo, la minusvalía que puedan tener los activos netos de una Sociedad de Inversión, dado un determinado nivel de confianza, en un periodo determinado;
Valores Extranjeros, los activos objeto de inversión de Deuda y de Renta Variable emitidos por Emisores Extranjeros;
Valores Extranjeros de Deuda, los activos objeto de inversión, cuya naturaleza corresponda a valores, títulos o documentos representativos de una deuda a cargo de un tercero, emitidos por emisores extranjeros;
Valores Extranjeros de Renta Variable, los activos objeto de inversión cuya naturaleza corresponda a capital emitidos por Emisores Extranjeros;
Vehículos, las sociedades de inversión, fideicomisos de inversión, los Instrumentos o Valores Extranjeros u otros análogos a los anteriores que, cualquiera que sea su denominación, confieran derechos, directa o indirectamente, a otros activos financieros;
UAIR, la Unidad de Administración Integral de Riesgos de las Administradoras, y
UARO, Unidad de Administración de Riesgo Operativo de las Empresas Operadoras.

CAPITULO II DISPOSICIONES GENERALES

TERCERA.- Las Administradoras y las Sociedades de Inversión, para la administración integral de riesgos, se auxiliarán de los siguientes órganos:

El consejo de administración;
El Comité de Riesgo Financiero;
El Comité de Riesgo Operativo, y
La UAIR.

CUARTA.- Las Empresas Operadoras, para la administración integral de riesgos, se auxiliarán de los siguientes órganos:

El consejo de administración;
El Comité de Riesgo Operativo, y
La UARO.

CAPITULO III DE LAS ADMINISTRADORAS DE FONDOS PARA EL RETIRO

Sección I De la Administración del Riesgo Operativo

QUINTA.- Las Administradoras deberán adoptar prácticas para la Administración del Riesgo Operativo en las áreas relacionadas con la operación de las cuentas individuales de los trabajadores. Dichas prácticas deberán quedar establecidas en el Manual de Políticas y Procedimientos para la Administración del Riesgo Operativo, e incluir al menos:

Programas de identificación y control de riesgos en los procesos operativos relativos a la administración de las cuentas individuales y su interacción con los sistemas informáticos;
Programas de revisión del cumplimiento de los objetivos, procedimientos y controles del Riesgo Operativo;
Sistemas de almacenamiento, procesamiento y administración de la información que permitan el desarrollo de una Administración del Riesgo Operativo en los términos de las presentes reglas, y
Programas de capacitación en materia de Riesgo Operativo.

Sección II De la Administración del Riesgo Financiero

SEXTA.- Las Administradoras, para la Administración del Riesgo Financiero de las Sociedades de Inversión que operen, deberán:

I. Identificar, medir, monitorear, limitar, controlar, informar y revelar los riesgos cuantificables a los que estén expuestas las Sociedades de Inversión, y

II. Desarrollar políticas y procedimientos para la administración de los distintos tipos de riesgos a los que se encuentren expuestas, conforme a los límites sobre la exposición al riesgo que definan sus consejos de administración.

Las Administradoras deberán delimitar claramente las diferentes funciones y responsabilidades de sus áreas y el personal de las mismas, en relación con la Administración del Riesgo Financiero de las Sociedades de Inversión que operen, conforme a lo previsto en las presentes reglas.

Sección III Del consejo de administración

SEPTIMA.- El consejo de administración de la Administradora será responsable de realizar las siguientes acciones:

I. Tratándose del Riesgo Operativo:

a. Aprobar las políticas para la Administración del Riesgo Operativo, así como establecer los niveles de tolerancia al riesgo;

b. Constituir un Comité de Riesgo Operativo, y

c. Aprobar el Manual de Políticas y Procedimientos para la Administración del Riesgo Operativo, así como las modificaciones que, en su caso, se realicen al mismo.

Para efecto de lo anterior, el consejo de administración deberá aprobar, a propuesta del Comité de Riesgo Operativo, el Manual de Políticas y Procedimientos para la Administración del Riesgo Operativo. Una vez que dicho manual sea aprobado por el consejo de administración, las Administradoras deberán someterlo a la Comisión para que ésta emita, en su caso, su no objeción.

El Manual de Políticas y Procedimientos para la Administración del Riesgo Operativo deberá formar parte del programa de autorregulación que apruebe el consejo de administración en términos del artículo 29 de la Ley.

El consejo de administración de la Administradora deberá revisar, al menos una vez al año, los objetivos, políticas y procedimientos para la Administración del Riesgo Operativo. En caso de que se realicen modificaciones al Manual de Políticas y Procedimientos para la Administración del Riesgo Operativo, éstas deberán ser remitidas a la Comisión a efecto de que ésta emita, en su caso, su no objeción.

II. Tratándose del Riesgo Financiero:

a. Aprobar las políticas para la Administración del Riesgo Financiero, así como establecer los niveles de tolerancia y exposición a dicho riesgo;

b. Establecer sus límites sobre la exposición al riesgo;

c. Constituir un Comité de Riesgo Financiero, cuyo objeto sea la administración de los riesgos a los que se encuentran expuestas las Sociedades de Inversión que operen, y

d. Aprobar el Manual de Políticas y Procedimientos para la Administración del Riesgo Financiero, así como las modificaciones que, en su caso, se realicen al mismo.

Para efecto de lo anterior, el consejo de administración de la Administradora que las opere deberá aprobar, a propuesta de los Comités de Riesgos Financieros de sus Sociedades de Inversión, el Manual de Políticas y Procedimientos para la Administración del Riesgo Financiero. Una vez que dicho manual sea aprobado por el consejo de administración, las Administradoras deberán someterlo a la Comisión para que ésta emita, en su caso, su no objeción.

El Manual de Políticas y Procedimientos para la Administración del Riesgo Financiero deberá formar parte del programa de autorregulación que apruebe el consejo de administración en términos del artículo 29 de la Ley.

El consejo de administración de cada Sociedad de Inversión deberá revisar, al menos una vez al año, los objetivos, políticas y procedimientos para la Administración del Riesgo Financiero e informar del resultado al consejo de administración de la Administradora que la opere. En caso de que se realicen modificaciones al Manual de Políticas y Procedimientos para la Administración del Riesgo Financiero, éstas deberán ser remitidas a la Comisión a efecto de que ésta emita, en su caso, su no objeción.

Sección IV Del Comité de Riesgo Operativo

OCTAVA.- El Comité de Riesgo Operativo tendrá como objeto la Administración del Riesgo Operativo a que se encuentran expuestas las Administradoras y las Sociedades de Inversión que operen. Dicho Comité deberá ser presidido por el director general de la Administradora y estar integrado, al menos, por los siguientes miembros:

Un consejero independiente;
Un consejero no independiente, y
El responsable de la UAIR.

Los responsables de la administración de las cuentas individuales en materia operativa, legal y de sistemas informáticos, así como el Contralor Normativo de la Administradora, en su caso, deberán ser convocados a todas las sesiones del Comité de Riesgo Operativo, en las cuales participarán con voz, pero sin voto.

El Comité de Riesgo Operativo deberá sesionar al menos trimestralmente. Las sesiones de dicho Comité no serán válidas sin la presencia del consejero independiente que sea miembro del mismo.

Todas las sesiones y acuerdos del Comité de Riesgo Operativo deberán constar en actas debidamente circunstanciadas y suscritas por todos y cada uno de los integrantes presentes en la sesión correspondiente.

NOVENA.- El Comité de Riesgo Operativo desempeñará las siguientes funciones:

Proponer para aprobación del consejo de administración de la Administradora, los niveles de tolerancia al riesgo, por tipo de Riesgo Operativo, de acuerdo con lo establecido en las presentes reglas;
Aprobar y revisar, al menos una vez al año, la metodología, modelos, sistemas de medición, parámetros y escenarios, para identificar, medir, monitorear, limitar, controlar, informar y revelar los distintos tipos de Riesgo Operativo a que se encuentran expuestas la Administradora y las Sociedades de inversión que opere;
Opinar sobre el contenido del Manual de Políticas y Procedimientos para la Administración del Riesgo Operativo y someterlo a la autorización del consejo de administración de la Administradora;
Informar al consejo de administración de la Administradora sobre: los niveles de tolerancia al Riesgo Operativo de dicha Administradora y de las Sociedades de Inversión que opere, la cercanía o trasgresión de los niveles de tolerancia al riesgo, así como el impacto financiero que enfrentaría la Administradora derivado de la materialización del Riesgo Operativo;
Informar al consejo de administración de la Administradora sobre las medidas correctivas implementadas, cuando el nivel observado del Riesgo Operativo se acerque o transgreda los niveles de tolerancia al riesgo establecidos;
Informar al consejo de administración el grado de cumplimiento de las políticas y procedimientos, así como el resultado de las evaluaciones del Riesgo Operativo que, en su caso, realice la Comisión;
Crear los subcomités que se consideren convenientes para el cumplimiento de las presentes disposiciones, y
Desempeñar las funciones en materia de Administración del Riesgo Operativo que permitan dar cumplimiento a las presentes reglas. Para tal efecto, el Comité de Riesgo Operativo podrá auxiliarse de las áreas de la Administradora que estime conveniente.

Sección V Del Comité de Riesgo Financiero

DECIMA.- El consejo de administración de cada Sociedad de Inversión deberá constituir un Comité de Riesgo Financiero cuyo objeto será la Administración del Riesgo Financiero a que se encuentren expuestas, así como vigilar que la realización de las operaciones financieras se ajusten a los límites, políticas y procedimientos para la administración de riesgos aprobados por dicho consejo de administración.

El Comité de Riesgo Financiero de cada Sociedad de Inversión deberá ser presidido por el director general de la Administradora que opere a la Sociedad de Inversión y deberá estar integrado, por lo menos, por los siguientes miembros:

Un consejero independiente;
Un consejero no independiente, y
El responsable de la UAIR.

Los responsables de la realización de las inversiones y de la ejecución de la estrategia que dicte el Comité de Inversión y de las distintas áreas involucradas en la operación que impliquen la toma de riesgos, así como el Contralor Normativo de la Administradora que opere a la Sociedad de Inversión, deberán ser convocados a todas las sesiones del Comité de Riesgo Financiero, en las cuales participarán como invitados con voz, pero sin voto.

El Comité de Riesgo Financiero deberá sesionar al menos una vez al mes. Las sesiones de dicho Comité no serán válidas sin la presencia del consejero independiente que sea miembro del mismo.

Todas las sesiones y acuerdos del Comité de Riesgo Financiero deberán hacerse constar en actas debidamente circunstanciadas y suscritas por todos y cada uno de los integrantes presentes en la sesión correspondiente.

DECIMA PRIMERA.- El Comité de Riesgo Financiero, para el desarrollo de su objeto, desempeñará las siguientes funciones:

Proponer, para aprobación del consejo de administración de la Sociedad de Inversión, los límites de exposición al riesgo y por tipo de riesgo, tomando en cuenta según corresponda, lo establecido en las presentes reglas;
Colaborar en la realización del informe y el programa de recomposición de cartera, conforme a las reglas de recomposición de cartera que emita la Comisión;
Aprobar:

La metodología para identificar, medir, monitorear, limitar, controlar, informar y revelar los distintos tipos de riesgos a los que se encuentre expuesta la Sociedad de Inversión de que se trate;
Los modelos, parámetros y escenarios que habrán de utilizarse para llevar a cabo la medición y el control de los riesgos;
La realización de nuevas operaciones y la prestación de nuevos servicios que, por su propia naturaleza, conlleven un riesgo, una vez que sean discutidos y aprobados por el Comité de Inversión de la Sociedad de Inversión de que se trate, y
Las metodologías que, en su caso, se aplicarán para el cálculo de los precios de valuación de las operaciones con Derivados celebradas en mercados extrabursátiles por las Sociedades de Inversión, así como de los precios de valuación de otros Activos Objeto de Inversión que, de acuerdo con la normatividad vigente, la Administradora haya hecho del conocimiento de la Comisión que dicha entidad financiera realizará la valuación de dichos Activos Objeto de Inversión;

Opinar sobre la designación que efectúe la Administradora del responsable de la UAIR y sobre el contenido del Manual de Políticas y Procedimientos para la Administración del Riesgo Financiero;
Informar al consejo de administración y al Comité de Inversión de la Sociedad de Inversión, al menos trimestralmente, sobre la exposición al Riesgo Financiero asumida, sobre los efectos negativos que se podrían producir en la operación de la Sociedad de Inversión, así como sobre la inobservancia de los límites de exposición al Riesgo Financiero establecidos;
Objetar la designación del Prestador de Servicios Financieros y del Custodio que, en su caso, se contraten;
Vigilar el cumplimiento del régimen de inversión aplicable a la Sociedad de Inversión y, en caso de incumplimiento, realizar un informe al consejo de administración y al Comité de Inversión sobre dicho incumplimiento y sus posibles repercusiones, al menos trimestralmente, o inmediatamente si las repercusiones así lo ameritan, además de realizar las funciones previstas en las reglas de recomposición de cartera que emita la Comisión;
Informar al consejo de administración sobre las medidas correctivas implementadas, tomando en cuenta el resultado de las auditorías relativas a los procedimientos de Administración del Riesgo Financiero, y
Crear los subcomités que se consideren convenientes para el ejercicio de sus funciones.

El Comité de Riesgos Financieros revisará, al menos una vez al año, lo señalado en los incisos a. y b. de la fracción III de la presente regla, sin perjuicio de realizar dicha función con mayor frecuencia, cuando así se requiera por las condiciones del mercado o, en particular, por las condiciones de la Sociedad de Inversión de que se trate.

DECIMA SEGUNDA.- El Comité de Riesgos Financieros, para llevar a cabo la Administración del Riesgo Financiero, se apoyará en la UAIR, cuyo objeto será identificar, medir, monitorear e informar al consejo de administración de la Administradora, al Comité de Inversión y al Contralor Normativo, los riesgos cuantificables que enfrenten las Sociedades de Inversión en sus operaciones.

DECIMA TERCERA.- El consejo de administración de cada Sociedad de Inversión podrá, en los términos que se señalen en el Manual de Políticas y Procedimientos para la Administración del Riesgo Financiero, autorizar que se excedan los límites de exposición a los distintos tipos de riesgo o, en su caso, ajustar dichos límites, cuando las condiciones y el entorno de la Sociedad de Inversión así lo requieran.

Sección VI

De la UAIR

DECIMA CUARTA.- La UAIR tiene como objeto identificar, medir, monitorear e informar al consejo de administración de la Administradora, de los riesgos que enfrenten las Administradoras y Sociedades de Inversión.

La UAIR deberá constituirse dentro de la estructura de la Administradora, o bien, podrá contratarse a un tercero para que preste este servicio. Lo anterior, sin perjuicio de que la responsabilidad de todos los actos de la UAIR esté a cargo de la Administradora.

En caso de que la UAIR se constituya dentro de la Administradora, deberá ser independiente de las áreas de operación, a fin de evitar conflictos de interés y asegurar una adecuada separación de responsabilidades. En caso de que se contrate la prestación de este servicio con uno o más terceros, dichas personas o entidades no deberán tener conflictos de interés con la Administradora y acreditar capacidad técnica, experiencia en la materia y solvencia moral.

El Comité de Riesgo Operativo y el Comité de Riesgo Financiero de las Administradoras se apoyarán en la UAIR.

DECIMA QUINTA.- Las Administradoras que opten por contratar a un tercero para que preste el servicio de la UAIR, deberán establecer claramente, en el contrato que celebren con el prestador del servicio, las funciones que estarán a cargo de cada una de las partes.

Las Administradoras deberán conservar a disposición de la Comisión el contrato celebrado con el prestador del servicio de la UAIR, así como la constancia de su aprobación, en su caso, por el Contralor Normativo de la Administradora.

DECIMA SEXTA.- Las Administradoras, independientemente de que la UAIR se constituya dentro de la estructura o se contrate a un tercero para que preste dicho servicio, deberá tener un responsable de Riesgos Financieros que deberá ser un funcionario al menos de segundo nivel dentro de la estructura organizacional de la Administradora. Dicho funcionario deberá reportar directamente al director general de la Administradora.

En relación con la Administración del Riesgo Operativo, independientemente de que se constituya dentro de la estructura de la Administradora o se contrate a un tercero para que preste este servicio, la Administradora deberá tener un responsable de Riesgo Operativo, que podrá ser el mismo al que se refiere el párrafo anterior.

DECIMA SEPTIMA.- La UAIR, en materia de Riesgo Operativo, desempeñará las siguientes funciones:

Proponer al Comité de Riesgo Operativo la metodología para identificar, medir y monitorear el Riesgo Operativo, así como los modelos y sistemas de medición, seguimiento y control de dicho riesgo;
Determinar y proponer al Comité de Riesgo Operativo para su autorización, los niveles de tolerancia a los riesgos previstos en las presentes reglas;
Apoyar y orientar, de acuerdo con el modelo y la metodología de Administración del Riesgo Operativo autorizado, a las áreas operativa, legal y de sistemas informáticos en la definición de la clasificación de procesos operativos y en la determinación de factores de riesgo inherentes a dichos procesos;
Recibir mensualmente de las áreas operativa, legal y de sistemas informáticos de la Administradora, mediante mecanismos que aseguren un adecuado flujo, calidad y oportunidad, establecidos al efecto en el Manual de Políticas y Procedimientos para la Administración del Riesgo Operativo, la siguiente información:

Clasificación de procesos operativos;
Factores de Riesgo Operativo de acuerdo con la clasificación de procesos operativos;
Eventos de pérdida por tipo de Riesgo Operativo de acuerdo con la clasificación de procesos operativos y área de la Administradora en que se origina el riesgo, diferenciando el impacto de su materialización para los trabajadores y para la Administradora;

En caso de que no se hubieran presentado eventos que reportar, ello se deberá notificar formalmente, por parte del responsable de las áreas operativa, legal y de sistemas informáticos;

V. Medir, monitorear y controlar el Riesgo Operativo al que se encuentran expuestas la Administradora y las Sociedades de Inversión que opere, respecto de la administración de las cuentas individuales de los trabajadores mediante modelos y sistemas de medición, que den seguimiento y permitan el control de dichos riesgos;

VI. Registrar los eventos de pérdida por Riesgo Operativo, de sistemas informáticos y de tipo legal materializados, para lo cual deberán:

a. Clasificar los diferentes tipos de evento de pérdida, de acuerdo con la clasificación que realicen las áreas operativa, legal y de sistemas informáticos, y

b. Mantener una base de datos histórica que contenga el registro sistemático de los diferentes eventos de pérdida y el costo que represente su materialización, diferenciando el costo para el afiliado y el costo para la Administradora, de acuerdo con el área de origen y la clasificación definida por la Administradora;

VII. Informar trimestralmente, al Comité de Riesgo Operativo, así como a los responsables de las áreas implicadas, los efectos que generaría la materialización del Riesgo Operativo reportado, a fin de que se evalúen las diferentes medidas de control de dicho riesgo;

VIII. Informar a la Comisión, al menos trimestralmente, de acuerdo con los medios y formatos que dicha autoridad establezca, las consecuencias económicas, financieras o de prestigio que la Administradora enfrentaría derivadas de la materialización de los riesgos identificados;

IX. Investigar, documentar e informar en el momento en que se conozca alguna desviación de los niveles de tolerancia establecidos y las causas que originaron dicha desviación al Comité de Riesgo Operativo, al director general, al Contralor Normativo y a los responsables de los procesos operativos, legales y de sistemas informáticos; cuando proceda. La UAIR deberá proponer las acciones correctivas necesarias ante los casos de desviación que se susciten, y

X. Elaborar el Manual de Políticas y Procedimientos para la Administración del Riesgo Operativo y someterlo a la opinión del Comité de Riesgo Operativo.

DECIMA OCTAVA.- La UAIR, en materia de Riesgo Financiero, desempeñará las siguientes funciones:

I. Vigilar que la Administración del Riesgo Financiero sea integral y considere los tipos de riesgos en que incurran las Sociedades de Inversión;

II. Proponer la metodología y, una vez aprobada por el Comité de Riesgos Financieros de cada Sociedad de Inversión, aplicarla para identificar, medir y monitorear los distintos tipos de riesgos a que se encuentren expuestas las Sociedades de Inversión, así como los límites por tipo de riesgo establecidos por el consejo de administración de cada Sociedad de Inversión, utilizando para tal efecto los modelos, parámetros y escenarios para la medición y control del riesgo establecidos por el citado Comité de Riesgos Financieros;

III. Informar a los Comités de Riesgos Financieros y de Inversión, de las Sociedades de Inversión, al director general de la Administradora y al Contralor Normativo sobre:

a. La exposición global y por tipo de riesgo de las Sociedades de Inversión. Los informes sobre la exposición de riesgo, deberán incluir análisis de sensibilidad y pruebas bajo condiciones extremas, y

b. Las desviaciones que, en su caso, se presenten respecto de los límites de exposición al riesgo establecidos, proponiendo, cuando así corresponda, las acciones correctivas necesarias;

Los informes a que se refiere la presente fracción deberán presentarse mensualmente, o bien, con mayor frecuencia, cuando sea necesario a causa del dinamismo de los riesgos. Asimismo, se entregará diariamente al director general, al Contralor Normativo y al responsable de la realización de las inversiones y la ejecución de la estrategia que dicte cada Comité de Inversión, un informe sobre el comportamiento de los riesgos de mercado de las Sociedades de Inversión que opere la Administradora;

IV. Investigar y documentar las causas que originen desviaciones a los límites de exposición al riesgo establecidos, identificando si dichas desviaciones se presentan en forma reiterada e informar de manera oportuna sus resultados a los Comités de Riesgos Financieros, a los Comités de Inversión, al director general y al Contralor Normativo;

V. Recomendar al director general, a los Comités de Inversión, al responsable de la realización de las inversiones y la ejecución de la estrategia que dicte cada Comité de Inversión y a los responsables de las distintas áreas involucradas en la operación que, derivado de sus funciones, impliquen la toma de riesgos, disminuir la exposición al riesgo a los límites previamente aprobados por el consejo de administración de cada Sociedad de Inversión cuando éstos se excedan;

VI. Calcular el rendimiento, ajustado por riesgo, que se tenga de los activos de cada Sociedad de Inversión y presentarlos al Comité de Riesgos Financieros y al Comité de Inversión para su discusión y evaluación, y

VII. Proponer al Comité de Riesgos Financieros para su aprobación, la metodología que, en su caso, se aplicará para el cálculo del precio de valuación de las operaciones con Derivados que cada Sociedad de Inversión realice en mercados extrabursátiles, así como la metodología de valuación de otros Activos Objeto de Inversión que, de acuerdo con la normatividad vigente, la Administradora haya hecho del conocimiento de la Comisión que dicha entidad financiera realizará la valuación de dichos Activos Objeto de Inversión.

DECIMA NOVENA.- La UAIR, para llevar a cabo la medición, seguimiento y control de los diversos tipos de Riesgos Financieros cuantificables, así como la valuación de las posiciones de las Sociedades de Inversión que opere la Administradora, deberá:

Contar con modelos y sistemas de medición y control de riesgos que incorporen información de mercado que comprenda variables tales como rendimientos, volatilidad y potencial de movimientos adversos, en donde se refleje, de forma precisa, el valor de las posiciones y su sensibilidad a los diversos factores de riesgo;
Llevar a cabo estimaciones de la exposición al riesgo de las Sociedades de Inversión, ligadas a resultados o al valor de la cartera de las mismas;
Asegurarse de que la información que sirva de base para calcular las posiciones de las Sociedades de Inversión utilizada en los modelos y sistemas de medición de riesgos, sea precisa, íntegra y oportuna, por lo que, toda modificación a la citada información deberá quedar documentada y contar con la explicación sobre su naturaleza y causa que la originó;
Efectuar revisiones periódicas a los supuestos contenidos en los modelos y sistemas referidos en la fracción I de la presente regla, y
Comparar periódicamente las estimaciones de la exposición al riesgo contra los resultados efectivamente observados para el mismo periodo de medición y, en su caso, modificar los supuestos empleados al formular dichas estimaciones.

VIGESIMA.- La UAIR, respecto de los sistemas a que se refiere la fracción I de la regla anterior, deberá asegurarse que cumplan con lo siguiente:

I. Permitir la medición, seguimiento y control de los Riesgos Financieros a que se encuentren expuestas las Sociedades de Inversión que opere la Administradora, así como la generación de informes al respecto.

Asimismo, deberán prever que el sistema de registro de operaciones concertadas informe al operador cuando el nivel de riesgo asociado a determinados Instrumentos llegue a los límites que al efecto se prevean en el régimen de inversión o por el Comité de Riesgos o cuando existan condiciones extremas de mercado, y

III. Considerar, para efectos de análisis, como mínimo lo siguiente:

a. Los diferentes tipos de riesgos cuantificables, tales como Riesgos de Mercado, de Crédito y de Liquidez, así como la exposición al riesgo global;

b. Los factores de riesgo tales como tasas de interés, índices de precios, tipos de cambio, índices accionarios y otros que los Comités de Riesgos juzguen relevantes para dicho análisis, considerando su impacto sobre el valor de la cartera de las Sociedades de Inversión;

c. Las concentraciones de riesgo, incorporando un tratamiento especial a las operaciones con Derivados y Notas, a efecto de verificar que éstos cumplan con su fin, y

d. Las técnicas de medición adecuadas para el análisis requerido y que permitan identificar los supuestos y los parámetros utilizados en dicha medición.

VIGESIMA PRIMERA.- La UAIR complementará su medición de Riesgos Financieros con la realización de pruebas bajo condiciones extremas, que permitan identificar el riesgo que enfrentarían las Sociedades de Inversión que opere la Administradora en dichas condiciones y reconocer las posiciones o estrategias que hagan más vulnerables a las mismas, para lo cual deberá:

Estimar el riesgo bajo condiciones en las cuales los supuestos fundamentales y los parámetros utilizados para la medición de riesgos se colapsen, así como la capacidad de respuesta de la Administradora para minimizar los efectos para las Sociedades de Inversión ante tales condiciones;
Evaluar el diseño y los resultados de las pruebas bajo condiciones extremas, para que, a partir de dicha evaluación, se establezcan planes de contingencia aplicables al presentarse esas condiciones en los mercados financieros en que participen las Sociedades de Inversión, y
Considerar los resultados generados por las pruebas bajo condiciones extremas en la revisión de políticas y límites para la toma de riesgos.

La UAIR deberá aplicar pruebas bajo condiciones extremas para la medición de todos los Riesgos Financieros cuantificables a que estén expuestas las Sociedades de Inversión.

VIGESIMA SEGUNDA.- Las Administradoras deberán contar con informes que se basen en datos íntegros, precisos y oportunos relacionados con la Administración del Riesgo Financiero de las Sociedades de Inversión que operen, que contengan como mínimo lo siguiente:

La exposición al riesgo global, por tipo de Instrumento, Valor Extranjero y Derivados, y por tipo de riesgo;
El grado de cumplimiento de las políticas y procedimientos para la Administración del Riesgo Financiero;
El grado de cercanía a los límites del Régimen de Inversión;
Los resultados de los diferentes análisis de sensibilidad y pruebas bajo condiciones extremas;
Los resúmenes de los resultados de las evaluaciones por lo que hace al cumplimiento de las políticas y procedimientos de la Administración del Riesgo Financiero, así como sobre las evaluaciones de los sistemas de medición de riesgos;
Los casos en que los límites de exposición al riesgo fueron excedidos, ya sea que se contara o no con autorización previa, y
El rendimiento diario ajustado por riesgo de los activos de cada Sociedad de Inversión.

Cualquier cambio significativo en el contenido y estructura de los informes, así como en las metodologías empleadas en la medición de riesgos, deberá especificarse dentro de los propios informes.

CAPITULO IV ADMINISTRACION DEL RIESGO OPERATIVO DE LAS ADMINISTRADORAS

Sección I Del Riesgo Operativo

VIGESIMA TERCERA.- Las Administradoras, para llevar a cabo la Administración del Riesgo Operativo, deberán al menos:

Identificar, clasificar y documentar los procesos y procedimientos de cada área de la Administradora;
Determinar y documentar los Factores de Riesgo Operativo de acuerdo con la clasificación de procesos operativos, en coordinación con la UAIR;
Enviar mensualmente a la UAIR, a través del responsable designado para tal efecto, mediante los mecanismos que aseguren un adecuado flujo, calidad y oportunidad; establecidos al efecto en el Manual de Políticas y Procedimientos para la Administración del Riesgo Operativo, la información relativa a los eventos de pérdida por Riesgo Operativo de acuerdo con la clasificación de procesos operativos y el área de la Administradora de origen, diferenciando el impacto de su materialización para el afiliado y para la Administradora.

En caso de que en el periodo no se hubieren presentado eventos que reportar, el responsable del área operativa deberá notificarlo formalmente a la UAIR;

Medir en términos monetarios los eventos ocurridos por Riesgo Operativo, de acuerdo con la clasificación de procesos operativos, y
Documentar las medidas de control implementadas para mitigar los riesgos reportados a la UAIR. Para efecto de lo anterior, los responsables de las áreas implicadas deberán documentar las medidas de control a que se refiere la presente fracción.

Sección II Del Riesgo Operativo de SIEFORE

VIGESIMA CUARTA.- Las Sociedades de Inversión, para llevar a cabo la gestión del Riesgo Operativo de SIEFORE, deberán como mínimo, realizar las siguientes acciones:

Implementar controles internos que procuren la seguridad en las operaciones, que permitan verificar la existencia de una clara delimitación de funciones en su ejecución, previendo distintos niveles de autorización, en razón de la toma de posiciones de riesgo;
A efecto de cumplir con lo previsto en la fracción anterior, en todas las operaciones de compraventa de valores celebradas directamente por las Administradoras, se deberá observar lo siguiente:

Se deberán grabar o mantener en medios magnéticos o documentales, tanto las cotizaciones que se realicen telefónicamente, como la concertación de las operaciones y conservar las grabaciones, medios magnéticos o documentos en que consten durante un plazo de dos años para las concertaciones y de seis meses para las cotizaciones. El sistema o mecanismo de grabación que se utilice para la conservación de las cotizaciones y la concertación de las mismas, deberá ser utilizado exclusivamente por la Administradora;
El sistema de grabación o mecanismo de conservación en medios magnéticos o documentales a que se refiere el párrafo anterior, deberá permitir la localización e identificación, en el propio equipo, de cualquier tipo de cotización y operación concertada que solicite el Contralor Normativo o la Comisión;
Las operaciones deberán ser confirmadas por escrito o por medios electrónicos por el intermediario con el que se celebre la operación;
Se deberá supervisar regularmente que las operaciones cumplan con las normas internas y externas aplicables y que las mismas se hayan realizado bajo condiciones de mercado, y
El encargado de realizar las operaciones de compraventa de valores deberá enviar, de forma documental o electrónica, cada una de las operaciones celebradas, al área encargada del registro, asignación y liquidación de las mismas. Dicha área, además de los datos de la operación concertada, deberá contar con fecha y hora de concertación, el nombre del funcionario que la pactó y el número telefónico o la extensión en la que quedó grabada la conversación;

III. En las operaciones de compraventa que se celebren mediante un Prestador de Servicios Financieros se deberá verificar que las operaciones cumplan con lo pactado en los contratos;

IV. Establecer mecanismos para el control de la liquidación de las operaciones, de conformidad con lo siguiente:

a. Se deberá llevar un registro detallado de las operaciones y de los movimientos correspondientes a cada operación en las cuentas de valores y de efectivo;

b. Con excepción de las operaciones celebradas con Derivados, las operaciones se realizarán únicamente bajo el sistema de entrega contra pago y se deberá contar con evidencia documental de dicho proceso proporcionada por el Custodio o con la impresión de las pantallas del Sistema de Monitoreo de Valores, el cual deberá contar con información actualizada frecuentemente durante cada día;

c. La orden de compraventa de valores de cada operación, deberá enviarse por escrito, ya sea vía electrónica o documental, al área encargada de la liquidación y administración de valores, en cuanto se cierre la operación.

La instrucción de liquidación de traspaso de efectivo y de traspaso de valores de cada operación deberá realizarse únicamente por los funcionarios del área encargada de la liquidación y administración de valores que estén autorizados en los contratos respectivos, dichos funcionarios deberán establecer contacto con el o los Custodios designados por el Comité de Inversiones para llevar a cabo dichos traspasos o liquidaciones;

d. Los funcionarios autorizados para girar instrucciones de liquidación, de traspaso de valores o de efectivo, deberán estar adscritos a las áreas de tesorería, administración, asignación, liquidación de valores o finanzas. Dichos funcionarios en ningún caso podrán depender del responsable de llevar a cabo la estrategia de inversión. Al efecto, los manuales internos deberán determinar claramente las funciones que competen a cada área;

e. Los encargados de la liquidación sólo podrán ordenar el depósito de valores o efectivo a cuentas previamente registradas en los sistemas de la Sociedad de Inversión. Los depósitos a cuentas que no se encuentren registradas requerirán autorización adicional del Comité de Inversión. Los manuales internos deberán establecer el procedimiento para dicha autorización;

f. Se deberá validar diariamente que en la Sociedad de Inversión se cuente con suficiencia y disponibilidad de recursos para hacer frente a las operaciones que se pacten durante el día.

La validación a que se refiere el presente inciso, se deberá informar al responsable de ejecutar la estrategia de inversión, y al responsable de la UAIR mediante un reporte de flujo de efectivo que contemple todas las entradas y salidas de efectivo y disponibilidad al inicio de día, previéndose, en su caso, para dicho flujo, todas las entradas y salidas por concepto de administración de instrumentos Derivados;

g. Contar con sistemas de seguimiento de las cuentas de valores que utilice la Sociedad de Inversión;

h. Cerciorarse de que, tanto las instrucciones de liquidación, como las relativas al traspaso de valores y efectivo a las cuentas de la Sociedad de Inversión, y los movimientos de dichas cuentas, deberán ser autorizados al menos por dos personas en forma mancomunada. Dichas personas deberán estar debidamente acreditadas en los contratos respectivos y en las tarjetas de firmas correspondientes;

i. Al cierre de operaciones se deberá constatar que exista coincidencia entre las operaciones concertadas y las cartas de confirmación enviadas y recibidas, así como entre los valores y el efectivo de la Sociedad de Inversión;

j. Se deberá contar con sistemas de contingencia para la transferencia de valores y efectivo. Asimismo, se deberán establecer en los Manuales de Políticas y Procedimientos para la Administración del Riesgo Financiero, todos los procesos y procedimientos relativos en caso de contingencia;

k. Se deberá enviar y recibir confirmación de las instrucciones de liquidación, transferencias de efectivo y traspaso de valores. El área encargada de ejecutar las instrucciones, deberá conservar los acuses de recibo al menos por un año, ya sea en medios magnéticos o documentales y, en su caso, contar con firmas electrónicas autorizadas para ordenar las transferencias;

l. Se deberá contar con los contratos celebrados para la concertación de operaciones, para la custodia de valores y de efectivo, así como con las tarjetas de firmas autorizadas anexas a los mismos, detallándose, en su caso, que las instrucciones de liquidación, traspasos de efectivo y traspaso de valores, sólo podrán realizarse con las instrucciones debidamente suscritas por funcionarios que se encuentren autorizados en las mencionadas tarjetas de firmas, y

m. La Administradora será responsable de mantener actualizadas, con el personal que se encuentre en funciones, las tarjetas de firmas anexas a los contratos celebrados para la concertación de operaciones, para la custodia de valores y de efectivo;

V. Contar con sistemas de procesamiento de información para la Administración del Riesgo Financiero que contemplen planes de contingencia ante la presencia de fallas técnicas, de caso fortuito o de fuerza mayor, y

VI. Establecer procedimientos relativos a la guarda, custodia, mantenimiento y control de expedientes que correspondan a las operaciones e instrumentos adquiridos.

Las Sociedades de Inversión deberán reportar las acciones establecidas en la presente regla al Comité que corresponda, de acuerdo con lo que al efecto determinen las políticas aprobadas por el consejo de administración de la Administradora que las opere, así como el de la Sociedad de Inversión de que se trate.

Para efecto de lo anterior, el consejo de administración de la Administradora que las opere, así como el de la Sociedad de Inversión de que se trate, deberán aprobar las políticas para la gestión del Riesgo Operativo de SIEFORE, entre las cuales, deberá especificar el Comité ante el cual se deberá reportar el cumplimiento de lo previsto en la presente regla. Dichas políticas deberán estar contenidas en el Manual de Políticas y Procedimientos para la Administración del Riesgo Operativo.

Sección III Del Riesgo Legal

VIGESIMA QUINTA.- Las Administradoras, en materia de la administración del Riesgo Legal que se encuentre directamente relacionado con la administración de las cuentas individuales de los trabajadores y con la inversión de sus recursos, deberán al menos:

Identificar, clasificar y documentar los procedimientos del área legal de la Administradora, con respecto a los procesos operativos que realice;
Establecer políticas y procedimientos que procuren una adecuada instrumentación de los convenios y contratos en los que participen las Administradoras, a fin de delimitar sus derechos y obligaciones contractuales;
Evaluar los daños y/o perjuicios que habrán de producirse por el incumplimiento en los convenios y/o contratos directamente relacionados con la administración de las cuentas individuales, que celebre la Administradora con terceros, de conformidad con el régimen legal aplicable;
Determinar y documentar, en coordinación con la UAIR, los factores de riesgo;
Medir, en términos monetarios, los eventos ocurridos por Riesgo Legal;
Remitir mensualmente a la UAIR, a través del responsable designado para tal efecto, mediante los mecanismos que aseguren un adecuado flujo, calidad y oportunidad; establecidos al efecto en el Manual de Políticas y Procedimientos para la Administración del Riesgo Operativo, la siguiente información:

a. La estimación del monto de pérdidas potenciales derivado de resoluciones judiciales o administrativas adversas a la Administradora o a las Sociedades de Inversión, las cuales deberán incluir la posible aplicación de sanciones, por las operaciones que se lleven a cabo. En dicha estimación, deberán incluirse los litigios pendientes de resolución en los que la Administradora y/o las Sociedades de Inversión que operen sean parte;

b. La estimación del monto de pérdidas potenciales derivado de convenios o contratos incumplidos en los que la Administradora sea parte;

En caso de que no se hubieren presentado eventos que reportar, el responsable del área legal deberá notificarlo formalmente a la UAIR;

VII. Documentar las medidas de control implementadas para mitigar los Riesgos Legales reportados a la UAIR. Para efecto de lo anterior, el responsable del área legal deberá documentar las medidas de control a que se refiere la presente fracción;

VIII. Establecer políticas y procedimientos que procuren una adecuada instrumentación de los convenios y contratos en los que participen las Administradoras y las Sociedades de Inversión que operen, a fin de delimitar sus derechos y obligaciones contractuales;

IX. Dar a conocer a los funcionarios y empleados de las Administradoras, las disposiciones legales y administrativas aplicables a sus operaciones, y

X. Realizar evaluaciones legales internas anualmente.

VIGESIMA SEXTA.- Las Administradoras, para efecto del Riesgo Legal de los convenios y contratos en los que participen éstas y las Sociedades de Inversión que operen, deberán evaluar lo siguiente:

I. Los daños y/o perjuicios que habrán de producirse por el incumplimiento en los convenios y/o contratos directamente relacionados con la inversión de los recursos de las cuentas individuales, de conformidad con el régimen legal aplicable, y

II. Los costos, daños y/o perjuicios que habrán de producirse derivados de la jurisdicción a la que se sometan las partes para el cumplimiento forzoso de los contratos y convenios que celebren la Administradora y/o las Sociedades de Inversión que opere.

Sección IV Del Riesgo Tecnológico

VIGESIMA SEPTIMA.- Las Administradoras, para llevar a cabo la Administración del Riesgo Tecnológico en relación a la administración de las cuentas individuales de los trabajadores y la inversión de sus recursos, deberán al menos:

Identificar, clasificar y documentar los procesos informáticos operativos por área de origen dentro de la Administradora;
Determinar y documentar los Factores de Riesgo Operativo, de acuerdo con la clasificación de procesos operativos y áreas de origen, en coordinación con la UAIR, las áreas operativas y de sistemas informáticos;
Medir, en términos monetarios, los eventos ocurridos por Riesgo Operativo, de acuerdo con la clasificación de procesos operativos;
Enviar mensualmente a la UAIR, a través del responsable designado para tal efecto, mediante los mecanismos que aseguren un adecuado flujo, calidad y oportunidad; establecidos al efecto en el Manual de Políticas y Procedimientos para la Administración del Riesgo Operativo, los eventos de pérdida por Riesgo Operativo, de acuerdo con la clasificación de procesos operativos y área de origen de la Administradora, diferenciando el impacto de su materialización para los trabajadores y para la Administradora. En caso de que no se hubieren presentado eventos que reportar, el responsable del área de sistemas informáticos deberá notificarlo formalmente a la UAIR, y
Documentar las medidas de control implementadas para mitigar los riesgos reportados a la UAIR. Para efecto de lo anterior, el responsable del área de sistemas informáticos, así como los responsables del área operativa implicada, deberán documentar las medidas de control a que se refiere la presente fracción.

VIGESIMA OCTAVA.- El responsable de la Administración del Riesgo Operativo en la UAIR deberá proponer al Comité de Riesgo Operativo, los estándares de mejores prácticas a las que deberá apegarse la Administradora en lo relativo al Riesgo Tecnológico. Dichos estándares y mejores prácticas deberán quedar establecidos en el Manual de Políticas y Procedimientos para la Administración del Riesgo Operativo.

Sección V Del riesgo por servicios relacionados directamente con la administración de las cuentas individuales de los trabajadores, que presten terceros a las Administradoras

VIGESIMA NOVENA.- Las Administradoras, en relación con la contratación de servicios con terceros, siempre y cuando se trate de servicios directamente relacionados con la administración de las cuentas individuales de los trabajadores y la inversión de sus recursos, deberán considerar lo siguiente:

Contar con la aprobación del consejo de administración de la Administradora de los lineamientos para la contratación de terceros;
Llevar a cabo un estudio de selección del proveedor del servicio que le asegure que la persona que preste el servicio brindará el desempeño esperado;
Delimitar claramente las funciones que realizará la Administradora y las que estarán a cargo del prestador de servicio en el contrato de prestación de servicios;

En caso de que un contrato se pretenda celebrar con una empresa con la que la Administradora tenga nexos patrimoniales o de control administrativo, éste deberá ser aprobado previamente por el Contralor Normativo de conformidad con lo dispuesto en los artículos 64, 64 bis y 64 ter de la Ley, en relación con el 70 de la Ley, así como las disposiciones de carácter general que al efecto emita la Comisión, a efecto de que, dicho funcionario, verifique que el contenido del contrato se ajusta a las condiciones existentes en el mercado para actos similares;

Especificar en cada servicio contratado, la naturaleza y detalles requeridos para llevar a cabo dicho servicio, así como los derechos y responsabilidades de las partes contratantes;
Especificar en el contrato que el proveedor de servicios deberá proporcionar a las Administradoras los registros, bases de datos y demás información relacionada con la administración de las cuentas individuales que requiera la Comisión en el ámbito de sus facultades;
Especificar en el contrato que el proveedor de servicios deberá contar con la obligación de mantener encriptada la información y los registros que sean propiedad de la Administradora y/o de las Sociedades de Inversión que opere, de tal forma que se asegure la confidencialidad de dicha información;
Especificar en el contrato las medidas que requiera el proveedor de servicios para asegurar la confidencialidad de la información;
Especificar en el contrato, que el proveedor de servicios deberá contar con planes de contingencia que proporcionen la estabilidad operativa de los servicios contratados, considerando al menos lo siguiente:

a. Protección de las instalaciones del prestador de servicios;

b. Plan de desastres;

c. Pruebas periódicas de respaldo de información;

IX. Especificar en el contrato que celebren con el prestador de servicios, las condiciones relativas a la terminación del servicio, y

X. Especificar en el contrato que celebren con el prestador de servicios, las condiciones de entrega de la información y registros propiedad de la Administradora.

TRIGESIMA.- Las Administradoras, para llevar a cabo la Administración del Riesgo Operativo por servicios prestados por terceros, deberán al menos:

I. Identificar, clasificar y documentar los procesos y procedimientos contratados con terceros;

II. Determinar y documentar los Factores de Riesgo Operativo, de acuerdo con la clasificación de procesos operativos en coordinación con la UAIR;

III. Medir, en términos monetarios, los eventos ocurridos por Riesgo Operativo, de acuerdo con la clasificación de procesos operativos;

IV. Enviar, a través del responsable designado para tal efecto, mensualmente a la UAIR, mediante los mecanismos que aseguren un adecuado flujo, calidad y oportunidad; establecidos al efecto en el Manual de Políticas y Procedimientos para la Administración del Riesgo Operativo, la siguiente información:

a. Eventos de pérdida por Riesgo Operativo, de acuerdo con la clasificación de procesos contratados con terceros, diferenciando el impacto de su materialización para los trabajadores y para la Administradora;

b. Eventos de pérdida por las sanciones que imponga la Comisión, ocasionadas por incumplimientos en la prestación del servicios y/o procesos contratados con terceros, calculando el impacto monetario para la Administradora;

Para efecto de lo establecido en la presente fracción, las Administradoras deberán evaluar el riesgo potencial por el hecho de que un tercero contratado por dicha entidad financiera, preste servicios similares en otras Administradoras. Para efecto de lo anterior, el prestador de servicios deberá informar a la Administradora de que se trate, la proporción de participación en el mercado en que preste sus servicios. En caso de que no se hubieren presentado eventos que reportar, el responsable de los procesos al interior de la Administradora deberá notificarlo formalmente a la UAIR;

V. Establecer un programa de administración de riesgos que permita prevenir y, en su caso, realizar las actividades correspondientes en caso de fallas en la prestación de servicios de terceros, con el objeto de que no se afecte la administración de las cuentas individuales, así como el cumplimiento de la normatividad aplicable.

TRIGESIMA PRIMERA.- Las Administradoras deberán evaluar los daños y/o perjuicios que habrán de producirse en caso de que el producto y/o servicio prestado por un tercero sea sujeto de expropiación, huelga, suspensión, requisa o cualquier otra causa que impida la prestación del servicio contratado, de conformidad con el régimen legal aplicable.

El área de la Administradora que realice la evaluación a que se refiere el párrafo anterior, deberá notificar el resultado a la UAIR.

TRIGESIMA SEGUNDA.- Las Administradoras deberán documentar en el Manual de Políticas y Procedimientos para la Administración del Riesgo Operativo, las medidas de control implementadas para mitigar los riesgos reportados a la UAIR e informar al Comité de Riesgo Operativo.

Sección VI Del Manual de Políticas y Procedimientos para la Administración del Riesgo Operativo

TRIGESIMA TERCERA.- El Manual de Políticas y Procedimientos para la Administración del Riesgo Operativo será independiente del manual señalado en la Sección VII del Capítulo V de las presentes reglas.

El Manual de Políticas y Procedimientos para la Administración del Riesgo Operativo deberá considerar, al menos, los siguientes aspectos:

Una estructura organizacional diseñada para llevar a cabo la Administración del Riesgo Operativo, la cual permita dar cumplimiento a las presentes disposiciones. Dicha estructura deberá establecerse de manera que exista independencia entre la Unidad para la Administración Integral de Riesgos y aquellas áreas que realizan la administración de las cuentas individuales;
El Manual de Políticas y Procedimientos para la Administración del Riesgo Operativo deberá incluir los modelos y metodologías para la identificación, medición y evaluación de los distintos tipos de riesgos, previstos en las presentes disposiciones, aprobados por el Comité de Riesgo Operativo, así como los requerimientos de los sistemas de procesamiento de información;
Los procedimientos para la determinación de los niveles de tolerancia al riesgo;
La clasificación de procesos operativos;
La forma y periodicidad con la que se deberán rendir los informes relativos a la Administración del Riesgo Operativo, al consejo de administración de la Administradora, al Comité de Riesgo Operativo, al director general de la Administradora y, en su caso, al Contralor Normativo;
La forma y periodicidad con la que la información fluirá entre los responsables de las distintas áreas involucradas en los procesos de administración de cuentas individuales en las Administradoras y la inversión de los recursos de los trabajadores y la UAIR, y
Las medidas de control interno y los mecanismos para corregir las desviaciones que se observen sobre los niveles de tolerancia al riesgo previstos en las presentes reglas.

TRIGESIMA CUARTA.- El Manual de Políticas y Procedimientos para la Administración del Riesgo Operativo previsto en las presentes disposiciones deberá formar parte del programa de autorregulación que apruebe el consejo de administración de la Administradora en términos del artículo 29 de la Ley.

CAPITULO V DE LA ADMINISTRACION DEL RIESGO FINANCIERO DE LAS SOCIEDADES DE INVERSION

Sección I Del Riesgo Financiero

TRIGESIMA QUINTA.- Las Administradoras deberán adoptar prácticas para la Administración del Riesgo Financiero en las áreas relacionadas con el manejo e inversión de los recursos de los trabajadores. Dichas prácticas deberán quedar establecidas en el Manual de Políticas y Procedimientos para la Administración del Riesgo Financiero, e incluir al menos:

Programas de revisión del cumplimiento de objetivos, procedimientos y controles en la celebración de operaciones, así como de los límites de exposición al riesgo, semestralmente, o bien, con una mayor frecuencia cuando por las condiciones del mercado se justifique;
Sistemas de almacenamiento, procesamiento y manejo de información que permitan el desarrollo de una Administración del Riesgo Financiero;
Difusión y, en su caso, implementación, de los planes de acción para casos de contingencia por caso fortuito o de fuerza mayor, que impidan el cumplimiento de los límites de exposición al riesgo establecidos, y
Programas de capacitación para el personal de la UAIR, tanto para el caso de que ésta forme parte de la estructura de la Administradora, como para cuando se contrate con un tercero, y para todo aquel involucrado en las operaciones que impliquen riesgo para las Sociedades de Inversión que opere la Administradora.

Sección II Del Riesgo de Crédito

TRIGESIMA SEXTA.- Las Sociedades de Inversión, en la Administración del Riesgo de Crédito en operaciones con instrumentos financieros que celebren, deberán como mínimo:

Diseñar procedimientos de control y seguimiento del Riesgo de Crédito de sus inversiones, los cuales deberán establecerse con base en la calidad crediticia del emisor, de la contraparte, o de ambos, según sea el caso;
Sujetarse a los límites de riesgo por sector de la economía y por riesgo país que determine su consejo de administración a propuesta del Comité de Riesgos Financieros;
Calcular la probabilidad de incumplimiento de la contraparte, del emisor, o de ambos, según sea el caso, y
Analizar el valor de recuperación y estimar la pérdida esperada en la operación.

Sección III Del Riesgo de Liquidez

TRIGESIMA SEPTIMA.- Las Sociedades de Inversión, en la Administración del Riesgo de Liquidez, deberán como mínimo:

Medir y monitorear el riesgo ocasionado por retiros de recursos considerando, para tal efecto, todos los activos de la Sociedad de Inversión y los flujos que ingresen a las citadas Sociedades en el futuro, derivados de las aportaciones;
Cuantificar la pérdida potencial derivada de la venta anticipada o forzosa de activos a descuentos inusuales para hacer frente a sus obligaciones de manera oportuna, así como por el hecho de que una posición no pueda ser oportunamente enajenada, adquirida o cubierta mediante el establecimiento de una posición contraria equivalente;
Contar con un plan que incorpore las acciones a seguir en caso de requerimientos de liquidez, y
Cuantificar el grado de bursatilidad de las acciones y/o índices o canastas de índices que conformen el Componente de Renta Variable que, en su caso, se utilice para estructurar Notas.

Sección IV Del Riesgo de Mercado

TRIGESIMA OCTAVA.- Las Sociedades de Inversión, en la Administración del Riesgo de Mercado, deberán como mínimo:

Evaluar y dar seguimiento a todas las posiciones sujetas a Riesgo de Mercado utilizando al menos, para tal efecto, modelos de valor en riesgo que tengan la capacidad de medir la pérdida potencial en dichas posiciones, asociada a movimientos de precios, tasas de interés o tipos de cambio, con un nivel de probabilidad dado y sobre un periodo específico;
Calcular el valor en riesgo en condiciones extremas contemplando escenarios extremos que rompan los supuestos básicos del modelo y darlo a conocer diariamente al director general, al Contralor Normativo y al responsable del área de inversiones de la Administradora. Igualmente, deberán dar a conocer esta información semanalmente a los miembros del Comité de Inversión y del Comité de Riesgos Financieros de la Sociedad de Inversión;
Definir normas cuantitativas y cualitativas para la elaboración y uso de los modelos de Valor en Riesgo;
Evaluar la diversificación del Riesgo de Mercado de sus posiciones;
Comparar sus exposiciones estimadas de Riesgo de Mercado con los resultados efectivamente observados. En caso de que los resultados proyectados y los observados difieran significativamente, se deberán analizar los supuestos y modelos utilizados para realizar las proyecciones y, en su caso, modificar dichos supuestos o modelos, y
Allegarse de información histórica de los factores de riesgo que afecten sus posiciones, a fin de calcular el Riesgo de Mercado.

Sección V De la revelación de Información

TRIGESIMA NOVENA.- Las Administradoras y Sociedades de Inversión deberán revelar al público, a través de notas en sus estados financieros, la información relativa a sus políticas, procedimientos, metodologías y demás medidas adoptadas para la Administración del Riesgo Financiero, así como información sobre las pérdidas potenciales por tipo de riesgo que enfrenten las Sociedades de Inversión.

Adicionalmente, las Administradoras deberán revelar a los trabajadores que tengan registrados y al público, por medios de distribución accesibles, adicionales a los previstos en el último párrafo de la presente regla, los rendimientos reales obtenidos. Esta información deberá tener como fuente a aquella que dé a conocer la Comisión en su página de Internet (www.consar.gob.mx).

Finalmente si derivado del manejo e inversión de los recursos se adquieren derechos corporativos en alguna inversión, deberán revelar a sus clientes la política de administración de dichos derechos a efecto de cumplir con lo previsto en el Manual de Políticas y Procedimientos para la Administración del Riesgo Financiero.

La información a que se refiere la presente regla deberá publicarse al menos una vez al año en dos periódicos de circulación nacional.

CUADRAGESIMA.- Las Administradoras deberán proporcionar a la Comisión, en la forma y términos que la misma establezca, la información que, en ejercicio de sus facultades de supervisión, les requiera, relativa a la Administración del Riesgo Financiero que lleven a cabo, así como a los resultados obtenidos de los procesos de evaluación externa a que se refiere la Sección II del Capítulo VI de las presentes reglas generales.

Sección VI De las mejores prácticas

CUADRAGESIMA PRIMERA.- La UAIR deberá promover que la Administradora se ajuste a las mejores prácticas en materia de Administración del Riesgo Financiero. Para ello, la UAIR deberá:

Implementar un sistema de seguimiento de las garantías de los contratos de Derivados, reportos y préstamos de valores que celebren las Sociedades de Inversión, en caso de que se pretenda celebrar este tipo de operaciones;
Incluir, en sus planes de contingencia, un sistema de alarmas tempranas para anticipar violaciones a los límites de riesgo, y
Calcular el Valor en Riesgo marginal de aquellas operaciones que determine el Comité de Riesgos Financieros de cada Sociedad de Inversión por su monto o características, incluyendo las celebradas con Derivados que realicen las Sociedades de Inversión, en su caso, y su contribución en el Valor en Riesgo total.

CUADRAGESIMA SEGUNDA.- La Administradora deberá utilizar la logística para operar Derivados de conformidad con el Anexo A de las presentes reglas generales. La Comisión podrá modificar o actualizar el Anexo A a que se refiere el presente párrafo en cualquier tiempo, en cuyo caso dichas modificaciones o actualizaciones deberán ser publicadas en el Diario Oficial de la Federación.

Para efecto de lo establecido en la presente regla, la Administradora deberá sujetarse a lo siguiente:

El responsable del área de inversiones de la Administradora deberá determinar los objetivos de la operación, y presentar a la UAIR su propuesta de tipo de instrumentos Derivados y contrapartes, incluyendo la información relevante de los mismos, considerándose únicamente Derivados que puedan ser valuados por el Proveedor de Precios el día de la concertación de la operación;
La UAIR, con base en la información anterior, deberá determinar la logística para la operación de Derivados, utilizando como mínimo lo siguiente:

Límites de contraparte;
Límites por emisor;
Límites por mercados listados y extrabursátiles;
Límites por operador, y
Límites de Valor en Riesgo marginal y total de la cartera de inversión.

Tratándose de operaciones particulares que no se encuentren previstas en el marco operativo a que se refiere esta fracción, los operadores que ejecuten la política de inversión de la Sociedad de Inversión deberán solicitar a la UAIR, previa confirmación expresa del Proveedor de Precios de que puede llevar una valuación diaria del Instrumento, que presenten la operación al Comité de Riesgos Financieros previamente a su concertación, para su inclusión en la política de inversión.

Esta información, previa confirmación por el Proveedor de Precios de la posibilidad de valuar una operación o Instrumento, deberá ser sometida al Comité de Riesgos Financieros para su aprobación y, en su caso, se deberá hacer del conocimiento del Comité de Inversión, para que, considerando este marco operativo, decida la política de inversión en materia de Derivados;

III. Los operadores de la Sociedad de Inversión, en cada operación que realicen con Derivados, conforme a la política de inversión definida por el Comité de Inversión, deberán:

a. Celebrar por cuenta y orden de la Sociedad de Inversión la operación correspondiente, en operaciones celebradas en mercados extrabursátiles o, una vez firmado el contrato de adhesión a la Bolsa o Cámara de Compensación en cuestión, para cada operación celebrada posteriormente, documentarla con cartas de confirmación;

b. Calcular el Valor en Riesgo marginal de la operación y de toda la cartera, con la colaboración de la UAIR;

c. Informar diariamente a la UAIR, al director general de la Administradora y a los encargados del control y registro de las operaciones, de las operaciones concertadas, y

d. Informar al Comité de Riesgos Financieros y al Comité de Inversiones, en cada sesión de éstos, sobre el detalle de las operaciones concertadas, el seguimiento de las mismas y los resultados contables y financieros;

IV. La UAIR deberá calcular y documentar el Valor en Riesgo de las operaciones concertadas y de la cartera de inversión de la Sociedad de Inversión, vigilar el cumplimiento de los límites a que se refiere la fracción II anterior e informar al director general, al Contralor Normativo y al responsable del área de inversiones de la Administradora, las operaciones concertadas y su impacto en la cartera de valores de la Sociedad de Inversión, así como monitorear diariamente el impacto en el régimen de inversión en el supuesto de que se ejecuten las garantías, y

V. Sólo los encargados del control y registro de las operaciones podrán confirmarlas y conciliarlas, a efecto de lo anterior deberán:

a. Revisar, en coordinación con los funcionarios del área jurídica de la Administradora, los términos y condiciones del contrato correspondiente a cada operación;

b. Llevar el registro contable de las operaciones;

c. Administrar las cuentas de margen y las garantías de cada operación, y

d. Liquidar las operaciones y sus cuentas de margen.

CUADRAGESIMA TERCERA.- Tratándose de operaciones con Derivados que se celebren en mercados extrabursátiles, las Sociedades de Inversión que no contraten un Proveedor de Precios para proporcionar servicios de valuación de dichos activos, podrán realizar dichas operaciones sin que sea necesario contar con la confirmación previa, por parte del Proveedor de Precios, de la posibilidad de valuar dichos activos.

En este caso, los operadores que ejecuten la política de inversión de la Sociedad de Inversión deberán someter previamente al Comité de Riesgos, para su aprobación, la operación con Derivados de que se trate y, en su caso, hacerla del conocimiento del Comité de Inversión, para que, considerando este marco operativo, decida la política de inversión en materia de operaciones con Derivados en mercados extrabursátiles.

CUADRAGESIMA CUARTA.- Las Sociedades de Inversión y las Administradoras que las operen deberán implementar un programa de capacitación continua y un código de ética, dirigidos a los operadores de las Sociedades de Inversión, a su personal de apoyo, a la UAIR y, en general, a todo el personal involucrado en la operación de las Sociedades de Inversión.

El código de ética deberá prever los procedimientos a los que deberán sujetarse los funcionarios antes mencionados para la celebración de operaciones, la obligatoriedad de su cumplimiento y las sanciones internas en caso de faltas u omisiones a lo previsto en dicho código.

CUADRAGESIMA QUINTA.- La UAIR, en caso de que la Sociedad de Inversión estructure las Notas, previo a la operación de cada Nota, deberá asegurarse de que el Proveedor de Precios es capaz de valuar diariamente el Componente de Renta Variable.

Asimismo, la UAIR deberá vigilar que se cumpla con lo establecido en las reglas generales para la operación de Notas que al efecto emita la Comisión.

CUADRAGESIMA SEXTA.- La UAIR, en caso de que la Sociedad de Inversión decida adquirir Valores Extranjeros, previo a la operación de cada Valor Extranjero, deberá asegurarse de que el Proveedor de Precios es capaz de valuarlo diariamente y de que se conocen todas las características del citado Valor Extranjero.

Asimismo, la UAIR deberá vigilar que se cumpla con lo establecido en las reglas generales para la operación de Notas que al efecto emita la Comisión.

Sección VII Del Manual de Políticas y Procedimientos para la Administración del Riesgo Financiero

CUADRAGESIMA SEPTIMA.- El Manual de Políticas y Procedimientos para la Administración del Riesgo Financiero deberá considerar, al menos, los siguientes aspectos:

El establecimiento explícito de que la Administradora tiene como principal objetivo administrar prudentemente los recursos de los trabajadores registrados en la misma, por lo cual buscarán, en todo momento, obtener los mejores rendimientos ajustados por riesgo. Adicionalmente, en el caso de que derivado de la administración de los recursos se adquieran derechos corporativos en alguna inversión, deberán diseñar una política de administración para el ejercicio de dichos derechos;
Los objetivos sobre la exposición al riesgo;
Una estructura organizacional diseñada para llevar a cabo la Administración del Riesgo Financiero. Dicha estructura deberá establecerse de manera que exista independencia entre la UAIR y aquellas otras áreas de control de operaciones, así como clara delimitación de funciones y perfil de puestos en todos sus niveles;
Las facultades y responsabilidades en función del puesto o cargo que se desempeñe, cuando este último implique la toma de riesgos para las Sociedades de Inversión que opere la Administradora;
La determinación o procedimiento para calcular los límites para la toma de riesgos que establezca el consejo de administración de cada Sociedad de Inversión a nivel global y por tipo de riesgo;
La forma y periodicidad con la que se deberá informar a los consejos de administración de las Sociedades de Inversión, a los Comités de Riesgos Financieros, al director general de la Administradora, al Contralor Normativo, a los Comités de Inversión, al responsable de la realización de las inversiones y la ejecución de la estrategia que dicte cada Comité de Inversión y los de las distintas áreas involucradas en la operación que derivado de sus funciones impliquen la toma de riesgos, sobre la exposición al riesgo de cada Sociedad de Inversión;
Las medidas de control interno, así como las correspondientes para corregir las desviaciones que se observen sobre los límites de exposición al riesgo;
El proceso para la aprobación de propuestas, estrategias o iniciativas para la Administración del Riesgo Financiero y, en su caso, de coberturas. Dichas propuestas deberán contar, entre otros aspectos, con una descripción general de la nueva operación, el análisis de sus riesgos implícitos, el procedimiento a utilizar para identificar, medir, monitorear, controlar, informar y revelar tales riesgos, así como una opinión sobre la viabilidad jurídica de la propuesta;
En caso de que se pretenda celebrar operaciones con Derivados, la logística para operar éstos, ajustándose a las mejores prácticas de conformidad con lo establecido en las reglas cuadragésima segunda y cuadragésima tercera anteriores;
En caso de que se pretenda celebrar operaciones con Derivados en mercados extrabursátiles, la metodología a la que se sujetará la Administradora para la valuación de dichas operaciones;
En caso de que se pretenda celebrar operaciones con Notas, éstas deberán ajustarse a las mejores prácticas de conformidad con lo establecido en la regla cuadragésima quinta anterior;
En caso de que se pretenda celebrar operaciones con Valores Extranjeros, éstas deberán ajustarse a las mejores prácticas de conformidad con lo establecido en la regla cuadragésima sexta anterior;
En caso de que la Administradora realice la valuación de los Activos Objeto de Inversión propiedad de las Sociedades de Inversión que opere, así como de las acciones representativas del capital social pagado de las Sociedades de Inversión, la metodología que utilizarán para realizar la valuación correspondiente;
Los planes de acción en caso de contingencias en caso fortuito o de fuerza mayor, y
El proceso para la autorización por el consejo de administración de cada Sociedad de Inversión del exceso a los límites de exposición al riesgo.

El Manual de Políticas y Procedimientos para la Administración del Riesgo Financiero deberá incluir de los modelos y metodologías para la valuación de los distintos tipos de riesgo, aprobados por los Comités de Riesgos, así como los requerimientos de los sistemas de procesamiento de información y el análisis de riesgos.

Asimismo, el Manual de Políticas y Procedimientos para la Administración del Riesgo Financiero y sus modificaciones deberán enviarse a la Comisión para que ésta emita, en su caso, su no objeción, dentro del plazo de treinta días naturales. En caso de que trascurra dicho plazo sin que hubiera resolución expresa, por parte de la Comisión, dicho manual se tendrá por aprobado.

CUADRAGESIMA OCTAVA.- La Comisión revisará los resultados de los modelos de valuación utilizados por cada Administradora, así como la metodología a la que se sujetará la Administradora para la valuación de las operaciones con Derivados a que se refiere la fracción X de la regla anterior, para verificar su consistencia, comparándolos contra los resultados obtenidos por el sistema de la Comisión.

En caso de que se encuentren diferencias relevantes en los resultados de los modelos utilizados por las Administradoras, la Comisión podrá realizar una revisión parcial o total de los mismos.

CAPITULO VI DE LA CONTRALORIA NORMATIVA

Sección I

Del Contralor Normativo

CUADRAGESIMA NOVENA.- El Contralor Normativo deberá, en materia de administración integral de riesgos, realizar lo siguiente:

Dar seguimiento continuo a las medidas de control y monitoreo del Riesgo Operativo;
Reportar el resultado de dicho seguimiento al consejo de administración de la Administradora y a la Comisión;
Dar seguimiento continuo a las medidas de control del Riesgo financiero que se integren al proceso de operación diaria, relativas al registro, documentación y liquidación de las operaciones que impliquen algún tipo de riesgo, conforme a las políticas y procedimientos establecidos en el Manual de Políticas y Procedimientos para la Administración del Riesgo Financiero, aprobados por el consejo de administración de la Administradora;
Dar seguimiento a la observancia de los límites de exposición al riesgo y niveles de tolerancia establecidos en la gestión de su Riesgo Financiero;
Dar seguimiento a las observaciones reportadas por el auditor externo, y
Dar seguimiento a las observaciones y evaluaciones realizadas por la Comisión.

Las actividades a que se refiere la presente regla, deberán integrarse en el programa de autorregulación de la Administradora y al plan de funciones del Contralor Normativo.

Lo previsto en la presente regla será aplicable únicamente cuando el responsable de la Administración del Riesgo Operativo designado por la Administradora no sea el Contralor Normativo.

Sección II De la evaluación externa

QUINCUAGESIMA.- Las Administradoras deberán contratar a un experto independiente para que, al menos una vez al año, lleve a cabo una evaluación de la Administración del Riesgo Financiero.

QUINCUAGESIMA PRIMERA.- El experto independiente que contraten las Administradoras deberá cumplir con las siguientes características:

No tener antecedentes negativos reportados ante la Comisión, o ante cualquier otra autoridad del sistema financiero mexicano;
Acreditar experiencia mínima de cuatro años en la Administración del Riesgo Financiero, estadística, valuación financiera y sistemas informáticos;
No ser auditor externo de la Administradora a la que preste sus servicios, ni prestarle a ésta servicios profesionales diferentes a la evaluación de Administración del Riesgo Financiero, y
No evaluar a la misma Administradora durante más de cinco años consecutivos.

El experto independiente a que se refiere la presente regla deberá ser elegido por el consejo de administración de la Administradora.

QUINCUAGESIMA SEGUNDA.- La evaluación en Administración del Riesgo Financiero que realice el experto independiente deberá considerar, entre otros, los siguientes aspectos:

El desarrollo de la Administración del Riesgo Financiero, de conformidad con lo establecido en las presentes reglas y en el Manual de Políticas y Procedimientos para la Administración del Riesgo Financiero;
La organización de la UAIR y su independencia de las demás áreas o, en caso de que este servicio lo preste un tercero, el cumplimiento del contrato celebrado entre las partes;
La suficiencia, integridad, consistencia y grado de integración de los sistemas de procesamiento de información y para el análisis de riesgos, así como de su contenido;
La consistencia, precisión, integridad, oportunidad y validez de las fuentes de información utilizadas en los modelos de medición;
Las modificaciones en los modelos de medición de riesgos y su correspondiente aprobación por cada Comité de Riesgos Financieros;
El proceso de aprobación de los modelos de medición de riesgos utilizados por la UAIR, y
El adecuado funcionamiento de los controles que reflejen los cambios relevantes en la naturaleza de los Instrumentos adquiridos por las Sociedades de Inversión, en los límites de exposición al riesgo y en las medidas de control interno, ocurridos durante el periodo de revisión a que se refiere la presente regla.

Los resultados de la evaluación se asentarán en un informe que contendrá, en su caso, recomendaciones para solucionar las irregularidades observadas. Dicho informe se presentará al consejo de administración de la Administradora y de las Sociedades de Inversión que ésta opere, a los Comités de Inversión, al Comité de Riesgos Financieros, al director general de la Administradora y al Contralor Normativo.

CAPITULO VII DE LAS EMPRESAS OPERADORAS DE LA BASE DE DATOS NACIONAL SAR

Sección I Del Consejo de Administración

QUINCUAGESIMA TERCERA.- El consejo de administración de las Empresas Operadoras, para efecto de la Administración del Riesgo Operativo, deberá realizar lo siguiente:

Aprobar las políticas para la Administración del Riesgo Operativo, así como autorizar los niveles de tolerancia de dicho riesgo, propuestos por el Comité de Riesgo Operativo, y
Constituir un Comité de Riesgo Operativo cuyo objeto será la Administración del Riesgo Operativo a que se encuentre expuesta la Empresa Operadora de que se trate;
Aprobar el Manual de Políticas y Procedimientos para la Administración del Riesgo Operativo, así como las modificaciones que, en su caso, se realicen al mismo.

Sección II Del Comité de Riesgo Operativo de las Empresas Operadoras

QUINCUAGESIMA CUARTA.- El Comité de Riesgo Operativo de las Empresas Operadoras deberá ser presidido por el director general de la Empresa y estar integrado, al menos, por:

Un consejero titular;
El consejero independiente del Consejo de administración;
El responsable de la UARO, y
El responsable designado por el consejo de administración de la Empresa Operadora a que se refiere el tercer párrafo de la regla quincuagésima sexta de las presentes reglas generales.

El responsable de la gestión del Riesgo Operativo, los responsables de las áreas operativas, legales y de sistemas, y, en su caso, el asesor experto en la materia contratado por las Empresas Operadoras, deberán ser convocados a todas las sesiones del Comité de Riesgo Operativo, en las cuales participarán con voz, pero sin voto.

El Comité de Riesgo Operativo deberá sesionar al menos trimestralmente, haciendo constar los acuerdos, en actas debidamente circunstanciadas y suscritas por todos y cada uno de los integrantes presentes en la sesión correspondiente.

QUINCUAGESIMA QUINTA.- El Comité de Riesgo Operativo de las Empresas Operadoras desempeñará las siguientes funciones:

Proponer, para aprobación del consejo de administración, los niveles de tolerancia al riesgo, por tipo de riesgo, de acuerdo con lo establecido en las presentes disposiciones;
Aprobar y revisar, al menos una vez al año, la metodología, modelos, sistemas de medición, parámetros y escenarios, para identificar, medir, monitorear, limitar, controlar, informar y revelar los distintos tipos de Riesgo Operativo a que se encuentra expuesta la Empresa Operadora;
Opinar sobre el contenido del Manual de Políticas y Procedimientos para la Administración del Riesgo Operativo, a que se refiere la sección VIII del presente Capítulo, y someterlo a la autorización del consejo de administración de la Empresa Operadora y de la Comisión;
Informar al consejo de administración sobre:

Los niveles de tolerancia al Riesgo Operativo de la Empresa Operadora en términos de lo previsto en las presentes reglas;

La cercanía o trasgresión de los niveles de tolerancia al Riesgo Operativo de la Empresa Operadora en términos de lo previsto en las presentes reglas, y
El impacto financiero que enfrentaría la Empresa Operadora derivado de la materialización del Riesgo Operativo, de acuerdo con lo reportado por la UARO;

Informar al consejo de administración de la Empresa Operadora, el impacto económico, financiero o de prestigio que enfrentaría la Empresa Operadora derivado de la materialización del Riesgo Operativo;

Informar al consejo de administración sobre las medidas correctivas implementadas por la cercanía o trasgresión de los niveles de tolerancia al riesgo establecidos;
Crear los subcomités que se consideren convenientes para el cumplimiento de las presentes disposiciones, y
Desempeñar las funciones en materia de administración de riesgos que permitan dar cumplimiento a las presentes disposiciones, pudiendo auxiliarse del área que estime conveniente.

Sección III

De la UARO

QUINCUAGESIMA SEXTA.- La UARO podrá constituirse dentro de la estructura de la Empresa Operadora, o bien, podrá contratarse a un tercero para que preste este servicio. Lo anterior, sin perjuicio de que la responsabilidad de todos los actos de la UARO esté a cargo de dicha empresa.

En caso de que la UARO se constituya dentro de las Empresas Operadoras, dicha Unidad deberá ser independiente de las áreas de operación, a fin de asegurar una adecuada separación de responsabilidades.

Las Empresas Operadoras deberán nombrar un responsable de riesgos, que deberá ser un funcionario al menos de segundo nivel dentro de la estructura organizacional de la Empresa Operadora. Dicho funcionario deberá reportar directamente al director general de la Empresa Operadora.

El Comité de Riesgo Operativo de las Empresas Operadoras, para llevar a cabo la Administración de Riesgo Operativo, se apoyará en una UARO.

QUINCUAGESIMA SEPTIMA.- La UARO, para el cumplimiento de su objeto, desempeñará las siguientes funciones:

Proponer al Comité de Riesgo Operativo la metodología para identificar, medir y monitorear el Riesgo Operativo, así como los modelos y sistemas de medición, seguimiento y control de dicho riesgo;
Determinar y proponer al Comité de Riesgo Operativo, para su presentación al consejo de administración de la Empresa Operadora, los niveles de tolerancia a los riesgos previstos en las presentes reglas;
Apoyar y orientar, de acuerdo con el modelo y la metodología de Administración de Riesgo Operativo autorizadas por el Comité de Riesgo Operativo, a las áreas operativa, legal y de sistemas informáticos en la definición de la clasificación de procesos operativos y en la determinación de factores de riesgo inherentes a dichos procesos;
Recibir mensualmente de las áreas operativa, legal y de sistemas informáticos, mediante mecanismos que aseguren un adecuado flujo, calidad y oportunidad establecidos al efecto en el Manual de Políticas y Procedimientos para la Administración del Riesgo Operativo, la siguiente información:

a. Clasificación de procesos operativos;

b. Factores de Riesgo Operativo, de acuerdo con la clasificación de procesos operativos;

c. Eventos de pérdida por tipo de Riesgo Operativo materializado, de acuerdo con la clasificación de procesos operativos y área de la Empresa Operadora en que se origine, diferenciando el impacto que tendría su materialización para los trabajadores y para la Empresa Operadora;

En caso de que no se hubieren presentado eventos que reportar, ello se deberá notificar formalmente, por parte del responsable de las áreas operativa, legal y de sistemas informáticos, respectivamente;

V. Medir, monitorear y controlar el Riesgo Operativo al que se encuentran expuestas las Empresas Operadoras para llevar a cabo la administración de la información de la Base de Datos Nacional SAR mediante modelos y sistemas de medición, que den seguimiento y permitan el control de dichos riesgos;

VI. Registrar los eventos de pérdida por tipo de Riesgo Operativo materializados para lo cual deberán:

a. Clasificar los diferentes tipos de eventos de pérdida, de acuerdo con la clasificación que realicen las áreas operativa, legal y de sistemas informáticos, y

b. Mantener una base de datos histórica que contenga el registro sistemático de los diferentes eventos de pérdida y el costo que represente su materialización; diferenciando el costo los trabajadores y el costo para las Empresas Operadoras, de acuerdo con el área de origen y la clasificación definida por la Administradora;

VII. Informar trimestralmente al Comité de Riesgo Operativo de la Empresa Operadora, los efectos de las consecuencias económicas, financieras o de prestigio que generaría la materialización de los Riesgos Operativos reportados, así como a los responsables de las áreas implicadas, a fin de que se evalúen las diferentes medidas de control de dichos riesgos;

VIII. Informar al menos trimestralmente a la Comisión, de acuerdo con los medios y formatos que la propia Comisión establezca, las consecuencias económicas, financieras o de prestigio derivadas de la materialización de los riesgos identificados, que la Empresa Operadora tendría que enfrentar;

IX. Investigar, documentar e informar en el momento en que se detectó alguna desviación de los niveles de tolerancia establecidos, las causas que originaron dicha desviación al Comité de Riesgo Operativo de la Empresa Operadora, al director general, al Contralor Normativo, en su caso, y a los responsables de los procesos operativos, legales y de sistemas informáticos; cuando proceda, la UARO deberá proponer las acciones correctivas necesarias, y

X. Elaborar el Manual de Políticas y Procedimientos para la Administración del Riesgo Operativo a que se refiere la sección VIII de este Capítulo, y someterlo a la opinión del Comité de Riesgo Operativo de la Empresa Operadora.

Sección IV Del Riesgo Operativo de las Empresas Operadoras

QUINCUAGESIMA OCTAVA.- Las Empresas Operadoras deberán adoptar prácticas para la Administración del Riesgo Operativo, relacionado con la operación de la Base de Datos Nacional SAR. Dichas prácticas deberán quedar establecidas en el Manual de Políticas y Procedimientos para la Administración del Riesgo Operativo, e incluir al menos:

Programas de identificación, control y monitoreo de riesgos en los procesos operativos relativos a la administración de la información de la Base de Datos Nacional SAR cuentas individuales y su interacción con los sistemas informáticos;
Programas de revisión del cumplimiento de los objetivos, procedimientos y controles del Riesgo Operativo;
Sistemas de almacenamiento, procesamiento y manejo de información que permitan el desarrollo de una Administración del Riesgo Operativo, y
Programas de capacitación para el personal en materia de Riesgo Operativo.

QUINCUAGESIMA NOVENA.- Las Empresas Operadoras, para llevar a cabo la Administración del Riesgo Operativo en relación con la conservación, administración y operación de la Base de Datos Nacional SAR, deberán como mínimo, realizar las siguientes acciones:

Identificar, clasificar y documentar los procesos y procedimientos de cada área de las Empresas Operadoras;
Determinar y documentar los Factores de Riesgo Operativo de acuerdo con la clasificación de procesos operativos en coordinación con la UARO;
Medir en términos monetarios, en coordinación con la UARO, los eventos ocurridos por Riesgo Operativo de acuerdo con la clasificación de procesos operativos;
Enviar mensualmente a la UARO, a través del responsable designado para tal efecto, mediante los mecanismos que aseguren un adecuado flujo, calidad y oportunidad; establecidos al efecto en el Manual de Políticas y Procedimientos para la Administración del Riesgo Operativo, la información correspondiente a los eventos de pérdida por Riesgo Operativo, de acuerdo con la clasificación de procesos operativos y área de origen, diferenciando el impacto de su materialización para el trabajador y para las Empresas Operadoras.

En caso de que no se hubieren presentado eventos que reportar, se deberá notificar formalmente de parte del responsable del área operativa;

El responsable del área operativa deberá documentar las medidas de control implementadas para mitigar los riesgos reportados a la UARO.

Sección V Del Riesgo Legal de las Empresas Operadoras

SEXAGESIMA.- Las Empresas Operadoras, en la administración del Riesgo Legal, deberán como mínimo:

Identificar, clasificar y documentar los procedimientos que tengan implicaciones legales de las áreas operativas y de sistemas de las Empresas Operadoras;
En coordinación con la UARO, determinar y documentar los factores de riesgo, de acuerdo con la clasificación de procesos operativos;
Medir, en términos monetarios, en coordinación con la UARO, los eventos ocurridos por Riesgo Legal, de acuerdo con la clasificación de procesos operativos;
Enviar mensualmente a la UARO, a través del responsable designado para tal efecto, mediante los mecanismos que aseguren un adecuado flujo, calidad y oportunidad; establecidos al efecto en el Manual de Políticas y Procedimientos para la Administración del Riesgo Operativo, la información relativa al monto de pérdidas potenciales derivadas de resoluciones judiciales o administrativas, considerando la posible aplicación de sanciones, por las operaciones que se lleven a cabo. En dicha estimación, deberán incluirse los litigios pendientes de resolución en los que las Empresas Operadoras sean parte.

En caso de que no se hubieren presentado eventos que reportar, se deberá notificar formalmente de parte del responsable del área legal;

Documentar las medidas de control implementadas para mitigar los Riesgos Legales reportados a la UARO. Para efecto de lo anterior, el responsable del área legal deberá documentar las medidas de control a que se refiere la presente fracción;
Establecer políticas y procedimientos que procuren una adecuada instrumentación de los convenios y contratos en los que participen las Empresas Operadoras, a fin de delimitar sus derechos y obligaciones contractuales;
Dar a conocer a sus funcionarios y empleados, las disposiciones legales y administrativas aplicables a sus operaciones, y
Realizar evaluaciones legales internas anualmente.

SEXAGESIMA PRIMERA.- Las Empresas Operadoras, para efecto del Riesgo Legal de los convenios y contratos en los que participen, deberán evaluar los daños y/o perjuicios que posibles incumplimientos de la contraparte que contraten, tendrán en relación con la normatividad aplicable a dichas Empresas.

Sección VI Del Riesgo Tecnológico de las Empresas Operadoras

SEXAGESIMA SEGUNDA.- Las Empresas Operadoras, para la Administración del Riesgo Tecnológico, deberán:

Identificar, clasificar y documentar, por área de origen, los procesos informáticos operativos dentro de las Empresas Operadoras;
Determinar y documentar los Factores de Riesgo Operativo, de acuerdo con la clasificación de procesos operativos y áreas de origen, en coordinación con la UARO y las áreas operativas;
Medir, en términos monetarios, en coordinación con la UARO, los eventos ocurridos por Riesgo Tecnológico, de acuerdo con la clasificación de procesos operativos;
Enviar mensualmente a la UARO, a través del responsable designado para tal efecto, mediante mecanismos que aseguren un adecuado flujo, calidad y oportunidad; establecidos al efecto en el Manual de Políticas y Procedimientos para la Administración del Riesgo Operativo, la información relativa a los eventos de pérdida por Riesgos Tecnológicos materializados, de acuerdo con la clasificación de procesos operativos y áreas de origen de las Empresas Operadoras.

En caso de que no se hubieren presentado eventos que reportar, esto se deberá notificar formalmente, por parte del responsable del área de sistemas informáticos;

Documentar las medidas de control implementadas para mitigar los riesgos reportados a la UARO. Para efecto de lo anterior, el responsable del área de sistemas informáticos, así como los de las áreas implicadas, en su caso, deberán documentar las medidas de control a que se refiere la presente fracción;
Contar con esquemas para reportar a la Comisión, en su caso, las violaciones a la seguridad de los activos informáticos que comprometa la información personal de los trabajadores. Dichos esquemas deberán incluir la identificación de las cuentas individuales afectadas, los costos, la retribución, y la posible acción legal que se derive las violaciones mencionadas.

SEXAGESIMA TERCERA.- Las Empresas Operadoras deberán incluir en el Manual de Políticas y Procedimientos para la Administración del Riesgo Operativo, los sucesos o eventos que pudieran constituir un Riesgo Tecnológico detallando su impacto en la operación de la Empresas Operadora. Dichos sucesos y eventos deberán ser objeto de vigilancia permanente, como parte de la Administración del Riesgo Operativo de las Empresas Operadoras.

Para tal efecto, el responsable de la Administración del Riesgo Operativo en la UARO deberá proponer al Comité de Riesgo Operativo los estándares de mejores prácticas a las que deberán apegarse las Empresas Operadoras en lo relativo al Riesgo Tecnológico.

Sección VII Del riesgo por servicios relacionados con la conservación, operación y administración de la Base de Datos Nacional SAR, que presten terceros a las Empresas Operadoras

SEXAGESIMA CUARTA.- Las Empresas Operadoras, para llevar a cabo la Administración del Riesgo Operativo por servicios contratados a terceros que se relacionen con la conservación, operación y administración de la Base de Datos Nacional SAR, deberán como mínimo:

Identificar, clasificar y documentar los procesos y procedimientos contratados con terceros;
Determinar y documentar los Factores de Riesgo Operativo, de acuerdo con la clasificación de procesos operativos, en coordinación con la UARO;
Medir en términos monetarios, en coordinación con la UARO, los eventos ocurridos por Riesgo Operativo de acuerdo con la clasificación de procesos operativos;
Enviar mensualmente a la UARO, a través del responsable designado para tal efecto, mediante mecanismos que aseguren un adecuado flujo, calidad y oportunidad; establecidos al efecto en el Manual de Políticas y Procedimientos para la Administración del Riesgo Operativo, la información relativa a los eventos de pérdida por Riesgo Operativo en procesos y procedimientos contratados con terceros, de acuerdo con la clasificación de procesos operativos, considerando el costo que representen, diferenciando el impacto de su materialización para el trabajador y para las Empresas Operadoras de acuerdo con la clasificación de procesos y áreas operativas responsables.

En caso de que no se hubieren presentado eventos que reportar, se deberá notificar formalmente de parte del responsable del área operativa de las Empresas Operadoras.

SEXAGESIMA QUINTA.- Las Empresas Operadoras, en caso de que contraten los servicios de terceros, siempre y cuando se traten de servicios relacionados con la conservación, operación y administración de la Base de Datos Nacional SAR, deberán considerar como mínimo lo siguiente:

I. Contar con la aprobación del consejo de administración de las Empresas Operadoras de los lineamientos para la contratación de terceros;

II. Llevar a cabo un estudio de selección del proveedor del servicio que le asegure que la prestadora de servicios proveerá el mejor desempeño esperado;

III. Delimitar claramente las funciones que realizarán las Empresas Operadoras y las que estarán a cargo del prestador del servicio, en el contrato correspondiente;

IV. Especificar en cada servicio contratado, la naturaleza y detalles requeridos para llevar a cabo dicho servicio, así como los derechos, responsabilidades y expectativas de las partes contratantes;

V. Especificar que el proveedor de servicios deberá proporcionar a la Empresa Operadora los registros, bases de datos y demás información relacionada con la conservación, operación y administración de la Base de Datos Nacional SAR que requiera la Comisión en el ámbito de sus facultades;

VI. Especificar en el contrato que celebren con el prestador de servicios, que éste deberá contar con la obligación de mantener encriptada la información y registros propiedad de las Empresas Operadoras que asegure la confidencialidad de dicha información;

VII. Especificar en el contrato que celebren con el prestador de servicios que éste deberá establecer las medidas que se requieran para asegurar la confidencialidad de la información;

VIII. Especificar en el contrato que celebren con el prestador de servicios que éste deberá contar con planes de contingencia que proporcionen la estabilidad operativa de los servicios contratados, considerando al menos lo siguiente:

a. Protección de las instalaciones del prestador de servicios;

b. Plan de desastres, y

c. Pruebas periódicas de respaldo de información;

IX. Especificar en el contrato que celebren con el prestador de servicios, las condiciones relativas a la terminación del servicio y la entrega de la información y los registros, propiedad de las Empresas Operadoras.

SEXAGESIMA SEXTA.- Las Empresas Operadoras deberán establecer un programa de Administración del Riesgo Operativo que prevenga y, en su caso, permita la realización de su objeto legal, aún en caso de fallas en la contratación de servicios externos, asegurándose que la prestación de servicios no afecte la conservación, operación o administración de la Base de Datos Nacional SAR, así como el cumplimiento de la normatividad aplicable a dichas Empresas Operadoras.

SEXAGESIMA SEPTIMA.- Las Empresas Operadoras deberán evaluar los daños y/o perjuicios que habrán de producirse en caso de que el producto y/o servicio prestado por un tercero sea sujeto de expropiación, huelga, suspensión, requisa o cualquier otra causa que impida la prestación del servicio contratado, de conformidad con el régimen legal aplicable.

El área de las Empresas Operadoras que realice la evaluación a que se refiere el párrafo anterior, deberá notificar el resultado a la UARO.

Sección VIII Del Manual de Políticas y Procedimientos para la Administración del Riesgo Operativo de las Empresas Operadoras

SEXAGESIMA OCTAVA.- El consejo de administración de las Empresas Operadoras deberá aprobar, a propuesta del Comité de Riesgo Operativo, el Manual de Políticas y Procedimientos para la Administración del Riesgo Operativo. Una vez aprobado dicho manual, el consejo de administración de la Empresa Operadora de que se trate, deberá presentarlo ante la Comisión para que ésta emita, en su caso, su no objeción.

El Manual de Políticas y Procedimientos para la Administración del Riesgo Operativo de las Empresas Operadoras deberá formar parte de los programas de control y evaluación que apruebe su consejo de administración.

SEXAGESIMA NOVENA.- El Manual de Políticas y Procedimientos para la Administración del Riesgo Operativo de las Empresas Operadoras deberá considerar, al menos, los siguientes aspectos:

La estructura organizacional diseñada para llevar a cabo la Administración del Riesgo Operativo. Dicha estructura deberá establecerse de manera que exista independencia entre la UARO y aquellas áreas que tengan a su cargo el control de operaciones las operaciones relativas a la conservación, operación o administración de la Base de Datos Nacional SAR;
El Manual de Políticas y Procedimientos para la Administración del Riesgo Operativo a que se refiere la presente regla deberá incluir los modelos y metodologías para la identificación, medición de los distintos tipos de riesgos previstos en las presentes reglas, aprobados por el Comité de Riesgo Operativo, así como de los requerimientos de los sistemas de procesamiento de información;
Los procedimientos a utilizar para identificar, medir, monitorear, controlar y revelar los Riesgos Operativos;
Los procedimientos para calcular los niveles de exposición y tolerancia para la toma de riesgos que establezca el consejo de administración, por tipo de riesgo;
La clasificación de procesos operativos;
La forma y periodicidad con las que se deberá informar sobre la exposición al riesgo al consejo de administración, al director general, al Contralor Normativo, en su caso, al Comité de Riesgo Operativo y a las distintas áreas de la Empresas Operadora que derivado de sus funciones impliquen la toma de riesgos;
Las medidas de control interno, así como las correspondientes para corregir las desviaciones que se observen sobre los niveles de exposición y de tolerancia a los riesgos operativos establecidos;
Los planes de acción en caso de contingencias por caso fortuito o de fuerza mayor, y
El proceso para la autorización por el consejo de administración de las Empresas Operadoras del exceso a los niveles de tolerancia a los riesgos establecidos.

Sección IX De la contraloría normativa de las Empresas Operadoras

SEPTUAGESIMA.- El Contralor Normativo de las Empresas Operadoras deberá realizar lo siguiente:

Dar seguimiento continuo a las medidas de control y monitoreo del Riesgo Operativo;
Reportar el resultado del seguimiento a que se refiere la fracción anterior, al consejo de administración y a la Comisión;
Dar seguimiento a las observaciones reportadas por el auditor externo que contrate la Empresa Operadora, y
Dar seguimiento a las observaciones y evaluaciones realizadas por la Comisión.

Las actividades señaladas en la presente regla deberán integrarse en el programa de control y evaluación de las Empresas Operadoras y en el plan de funciones del Contralor Normativo de las Empresas Operadoras.

Lo previsto en la presente regla será aplicable únicamente cuando el responsable de la Administración del Riesgo Operativo designado por la Administradora no sea el Contralor Normativo.

TRANSITORIAS

PRIMERA.- Las presentes reglas generales entrarán en vigor al día siguiente de su publicación en el Diario Oficial de la Federación.

SEGUNDA.- Se abrogan la Circulares CONSAR 51-4 y CONSAR 51-5, publicadas en el Diario Oficial de la Federación los días 9 de junio de 2004 y 9 de diciembre de 2005, respectivamente.

TERCERA.- Las Administradoras contarán con plazo de 90 días naturales contado a partir de la fecha de entrada en vigor de las presentes reglas para presentar a la Comisión, el plan estratégico de implementación para dar cumplimiento a lo previsto en las reglas quinta, séptima a novena, décima cuarta a décima séptima, vigésima tercera, vigésima quinta a trigésima cuarta y cuadragésima novena de las presentes reglas generales.

CUARTA.- Las Empresas Operadoras contarán con plazo de 90 días naturales contado a partir de la fecha de entrada en vigor de las presentes disposiciones generales para presentar a la Comisión, el plan estratégico de implementación para dar cumplimiento a lo establecido en el Capítulo VII, denominado De las empresas operadoras de la Base de Datos Nacional SAR, que comprende las reglas quincuagésima tercera a septuagésima de las presentes reglas.

QUINTA.- Las Administradoras y las Empresas Operadoras deberán elaborar el Manual de Políticas y Procedimientos para la Administración del Riesgo Operativo, de conformidad con las presentes reglas y remitirlos a la Comisión en un plazo máximo de 180 días naturales, contado a partir de la fecha de entrada en vigor de las presentes reglas.

SEXTA.- Las Administradoras y las Empresas Operadoras deberán implementar los modelos y metodologías de conformidad con lo previsto en las presentes reglas, dentro de un plazo máximo de 360 días naturales, contado a partir de la fecha de entrada en vigor de las presentes reglas.

En caso de que una persona moral, dentro del plazo a que se refiere el párrafo anterior, obtenga autorización de la Comisión para operar como Administradora, o bien, la concesión para operar como Empresa Operadora, la nueva Administradora o Empresa Operadora deberá implementar los modelos y metodologías a que se refieren las presentes reglas, dentro del mismo plazo a que se refiere el párrafo anterior.

SEPTIMA.- Las Administradoras y las Empresas Operadoras deberán registrar los eventos de pérdida que ocurran, una vez implementados los modelos y metodologías a que se refiere la regla transitoria anterior.

OCTAVA.- Las Administradoras y las Empresas Operadoras deberán reportar de manera trimestral a la Comisión, a partir de la implementación de los modelos y metodologías a que se refiere la regla sexta transitoria anterior, los eventos de pérdida registrados.

NOVENA.- Las Sociedades de Inversión deberán adecuar su Manual de Políticas y Procedimientos para la Administración del Riesgo Financiero, así como los modelos y metodologías para la valuación de los distintos tipos de Riesgo Financiero de conformidad con las presentes reglas generales y remitirlos a la Comisión, dentro de un plazo máximo de 90 días naturales, contados a partir de la entrada en vigor de las presentes reglas, considerando sólo en caso de pretender operarlos, lo correspondiente a Derivados.

DECIMA.- Las Administradoras y Sociedades de Inversión que a la fecha de entrada en vigor de las presentes reglas no hubieren finalizado la instrumentación de sus sistemas para la administración integral de los Riesgos Financieros, en términos de lo dispuesto en las Circulares CONSAR 51-4 y CONSAR 51-5, publicadas en el Diario Oficial de la Federación los días 9 de junio de 2004 y 9 de diciembre de 2005, respectivamente, no podrán celebrar las operaciones financieras conocidas como derivadas ni estructurar Notas con Derivados, en tanto no concluyan con dicha instrumentación.

Las instrumentaciones de sistemas que hayan iniciado las Administradoras y Sociedades de Inversión antes de la fecha de entrada en vigor de las presentes reglas generales, se concluirán conforme a lo previsto en las Circulares CONSAR 51-4 y CONSAR 51-5, publicadas en el Diario Oficial de la Federación los días 9 de junio de 2004 y 9 de diciembre de 2005, respectivamente.

DECIMA PRIMERA.- El manual de políticas y procedimientos para la administración integral de riesgos a que se refiere la fracción II. de la regla décima tercera de la Circular CONSAR 21-5, publicada en el Diario Oficial de la Federación el día 9 de diciembre de 2005, a partir de la fecha de entrada en vigor de las presentes reglas generales, se entenderá referido al Manual de Políticas y Procedimientos para la Administración del Riesgo Financiero.

DECIMA SEGUNDA.- Las personas que a partir de la fecha de entrada en vigor de las presentes reglas generales soliciten autorización para operar como Administradora y/o Sociedad de Inversión en términos de lo dispuesto en la Circular CONSAR 01-4, publicada en el Diario Oficial de la Federación el día 9 de agosto de 2005, deberán sujetarse a lo siguiente:

I. Las reglas octava, fracción XIII; décima segunda, fracción II, inciso d; y vigésima novena, fracción II, inciso d, de la Circular CONSAR 01-4 que hacen referencia al proyecto de manual de políticas y procedimientos para la administración integral de riesgos, se entenderán referidas a los proyectos de Manual de Políticas y Procedimientos para la Administración del Riesgo Financiero y de Manual de Políticas y Procedimientos para la Administración del Riesgo Operativo a que se refieren las presentes reglas generales, respectivamente;

II. Las reglas décima sexta, fracción I, inciso f; y vigésima sexta, fracción II, de la Circular CONSAR 01-4 que hacen referencia al manual de políticas y procedimientos para la administración integral de riesgos, se entenderán referidas al Manual de Políticas y Procedimientos para la Administración del Riesgo Financiero y de Manual de Políticas y Procedimientos para la Administración del Riesgo Operativo a que se refieren las presentes reglas generales, respectivamente.

México, D.F., a 24 de enero de 2006.- El Presidente de la Comisión Nacional del Sistema de Ahorro para el Retiro, Mario Gabriel Budebo.- Rúbrica.

______________________

En el documento que usted está visualizando puede haber texto, caracteres u objetos que no se muestren correctamente debido a la conversión a formato HTML, por lo que le recomendamos tomar siempre como referencia la imagen digitalizada del DOF o el archivo PDF de la edición.
El contenido, forma y alcance de los documentos publicados, son estricta responsabilidad de su emisor.