Resolución que modifica las disposiciones de carácter general aplicables a las instituciones de crédito.
Al margen un sello con el Escudo Nacional, que dice: Estados Unidos Mexicanos.- Secretaría de Hacienda y Crédito Público.- Comisión Nacional Bancaria y de Valores.
La Comisión Nacional Bancaria y de Valores con fundamento en lo dispuesto por los artículos 46 Bis de la Ley de Instituciones de Crédito y 4, fracciones I, XXXVI y XXXVII de su Ley, y
CONSIDERANDO
Que las instituciones de crédito, al contratar la prestación de ciertos servicios y celebrar contratos de comisión mercantil para apoyar su adecuada operación, deben ajustarse a las disposiciones de carácter general que al efecto expida la Comisión;
Que por lo general, la contratación de los servicios de que se trata o comisiones mercantiles, tienen como propósito que las instituciones de crédito se concentren y especialicen en el desempeño de las actividades que les son propias y con ello, reduzcan sus costos obteniendo menores precios de insumos, aprovechando economías de escala y buscando mayor eficiencia;
Que en adición a lo anterior, se ha considerado conveniente ampliar las opciones para que el público en general tenga acceso a los productos bancarios más demandados, utilizando el servicio de comisionistas para recibir pagos, entregar recursos, entre otras actividades, para las que se les faculte para actuar a nombre y por cuenta de las instituciones de crédito, distintas de la captación de recursos del público, y
Que las presentes disposiciones toman en cuenta las mejores prácticas internacionales que han sido adoptadas en relación a las instituciones de crédito que contraten tales servicios o comisiones, ha resuelto expedir la siguiente:
RESOLUCION QUE MODIFICA LAS DISPOSICIONES DE CARACTER GENERAL APLICABLES A LAS INSTITUCIONES DE CREDITO
UNICO.- Se ADICIONA un Capítulo XI al Título Quinto de las disposiciones objeto de la presente Resolución, que comprenderá de los artículos 317 a 326, pasando el actual Capítulo XI a ser Capítulo XII de dicho Título Quinto, conservando éste su denominación y que contiene el actual artículo 317 para quedar como 327, así como un Anexo 52 a las Disposiciones de carácter general aplicables a las instituciones de crédito, publicadas en el Diario Oficial de la Federación el 2 de diciembre de 2005, modificadas mediante resoluciones publicadas en el citado Diario el 3 y 28 de marzo, 15 de septiembre de 2006, así como por la resolución expedida por esta Comisión el día 9 de noviembre de 2006 aún en trámite de publicación en el referido medio, para quedar como sigue:
?INDICE
TITULO PRIMERO A TITULO CUARTO.-
TITULO QUINTO OTRAS DISPOSICIONES
Capítulo I a Capítulo X.-
Capítulo XI De la contratación con terceros de servicios o comisiones
Capítulo XII Regulación adicional
Listado de Anexos Anexos 1 a 51.-
Anexo 52.- Lineamientos mínimos de operación y seguridad para la contratación de servicios de apoyo tecnológico.?
?Capítulo XI De la contratación con terceros de servicios o comisiones
Artículo 317.- Las Instituciones podrán contratar con terceros, incluyendo a otras Instituciones o entidades financieras nacionales o extranjeras, la prestación de los servicios o comisiones necesarios para realizar las operaciones previstas en el artículo 46 de la Ley, con sujeción a lo señalado en el presente Capítulo.
En ningún caso las Instituciones podrán celebrar contratos de comisión mercantil, con el fin de captar recursos del público fuera de las sucursales bancarias.
No serán aplicables estas disposiciones, ni requerirá aviso o autorización, la contratación de los servicios que, de manera enunciativa mas no limitativa, se indican a continuación:
I. Los servicios profesionales o de asesoría incluyendo mandatos y comisiones, salvo que estos últimos sean para la realización de las operaciones señaladas en el artículo 46 de la Ley.
II. Los servicios auxiliares y complementarios que las Instituciones obtengan de las sociedades en las que inviertan al amparo del artículo 88 de la Ley, de las empresas a que se refiere el artículo 9 de la Ley para Regular las Agrupaciones Financieras, así como los que contraten con sus subsidiarias o con entidades financieras, siempre que se encuentren sujetas a la supervisión de la Comisión y los servicios se presten en territorio nacional.
III. Los servicios necesarios para la operación de la Institución, que de conformidad con la Ley y sus disposiciones reglamentarias, no puedan ser realizados por aquélla.
IV. La manufactura, promoción y distribución de tarjetas de crédito, de débito o recargables, así como de esqueletos de cheques y libretas para depósito de ahorros.
V. El traslado de valores.
VI. La recuperación de cartera.
VII. Mantenimiento y sostenimiento de equipos y sistemas de cómputo en red.
VIII. Los servicios relacionados con la administración, tales como limpieza, seguridad, mensajería y correspondencia, almacenamiento y resguardo físico de información y documentación, entre otros.
IX. El procesamiento de operaciones crediticias en su fase de promoción, acopio de información y análisis.
Lo anterior, sin perjuicio de que la Institución deberá cuidar en todo momento, que las personas que les proporcionen los servicios a que se refiere este artículo, guarden la debida confidencialidad de la información relativa a las operaciones activas, pasivas o de servicios celebradas con sus clientes, en caso tener acceso a ella.
Artículo 318.- Las instituciones, con las excepciones previstas en el artículo anterior, para contratar cualquiera de los servicios o al celebrar cualquiera de las comisiones mercantiles a que se refiere el presente Capítulo, deberán cumplir con los requisitos siguientes:
I. Los terceros o comisionistas con los que se contrate siempre actuarán a nombre y por cuenta de la Institución, cuando deban actuar con el público en general.
Asimismo, dichos terceros o comisionistas no podrán en ningún caso llevar a cabo aperturas de cuentas o aprobaciones para el otorgamiento de créditos, ni tener acceso a los saldos de las cuentas de los clientes de la Institución.
II. Contar con un informe que especifique los servicios a contratar, así como los criterios y procedimientos para seleccionar al tercero. Dichos criterios y procedimientos estarán orientados a evaluar su experiencia, capacidad técnica y en recursos humanos del tercero con quien se contrate, para prestar el servicio con niveles adecuados de desempeño, confiabilidad y seguridad.
III. Prever en el contrato de prestación de servicios o comisión respectivo, la aceptación incondicional del tercero para:
a) Recibir visitas domiciliarias por parte del auditor externo de la Institución y de la Comisión, a efecto de llevar a cabo la supervisión correspondiente, con el exclusivo propósito de obtener información para constatar que los servicios o comisiones contratados por la Institución, le permiten a esta última cumplir con las disposiciones de la Ley que le resultan aplicables. Para que se realicen las visitas referidas, las Instituciones podrán designar un representante.
b) Practicar auditorías por parte de la Institución o a través de terceros que la propia Comisión designe, en relación con los servicios objeto de dicho contrato, a fin de verificar la observancia de las disposiciones aplicables a las Instituciones.
c) Entregar a solicitud de la Institución, al auditor externo de la propia Institución y a la Comisión o al tercero que esta designe, libros, sistemas, registros, manuales y documentos en general, relacionados con la prestación del servicio de que se trate. Asimismo, permitirá que se tenga acceso al personal responsable y a sus oficinas e instalaciones en general, relacionados con la prestación del servicio en cuestión.
Las observaciones, medidas correctivas o emplazamientos que deriven de la supervisión e inspección que realice la Comisión en términos de las disposiciones aplicables, las realizará la propia Comisión, en su caso, directamente a la Institución.
IV. Contar con políticas y procedimientos para vigilar el desempeño del tercero y el cumplimiento de sus obligaciones contractuales, que deberán contener aspectos relativos a:
a) Las restricciones o condiciones, respecto a la posibilidad de que el tercero subcontrate, a su vez, la prestación del servicio.
b) La confidencialidad y seguridad de la información de los clientes.
c) Las obligaciones de la Institución y del tercero, los procedimientos para vigilar su cumplimiento, así como en su caso, las consecuencias legales en el evento de incumplimiento.
d) Los mecanismos para la solución de disputas relativas al contrato de prestación de servicios y comisión.
e) Las medidas para contar con planes de continuidad del negocio, incluyendo los procedimientos de contingencia en caso de desastres.
f) La propiedad de la Institución sobre las bases de datos producto de los servicios y comisiones.
g) Los lineamientos para asegurarse de que el tercero reciba periódicamente una adecuada capacitación e información, en relación con los servicios contratados.
h) El cumplimiento de los lineamientos mínimos de operación y seguridad que se señalan en el Anexo 52 de las presentes disposiciones, en caso de que los servicios a contratar se refieran a la utilización de infraestructura tecnológica o de telecomunicaciones.
V. Contar con planes para evaluar y reportar al Consejo, al Comité de Auditoría o al director general, según la importancia del servicio contratado, el desempeño del tercero, así como el cumplimiento de la normativa aplicable relacionada con dicho servicio.
El director general de la Institución será responsable de aprobar las políticas y criterios para seleccionar a los terceros, que contrate la Institución en términos de lo previsto en este artículo. El director general asimismo, será responsable de la implementación de dichas políticas y criterios.
Artículo 319.- Las Instituciones deberán dar aviso a la unidad administrativa de la Comisión que se encuentre a cargo de su supervisión, previamente a la contratación de la prestación de servicios o comisiones con terceros, con otras Instituciones o entidades financieras, cuando a juicio del director general de la Institución de que se trate, puedan afectar cualitativa o cuantitativamente una o más de las operaciones que realice la Institución conforme a su objeto, tomando en cuenta para determinar tal circunstancia, entre otras:
I. La capacidad de la Institución, para en caso de contingencia mantener la continuidad operativa y la realización de operaciones y servicios con sus clientes.
II. La complejidad y tiempo requerido para encontrar un tercero que, en su caso, sustituya al originalmente contratado.
III. La limitación en la toma de decisiones que trasciendan en forma significativa en la situación administrativa, financiera, operacional o jurídica de la propia Institución.
IV. La habilidad de la Institución para mantener controles internos apropiados y oportunidad en el registro contable, así como cumplir con los requerimientos regulatorios en caso de suspensión del servicio por parte del tercero.
V. El impacto que la suspensión del servicio tendría en las finanzas, reputación y operaciones de la Institución.
VI. La capacidad de la Institución de participar eficientemente en el sistema de pagos.
VII. La vulnerabilidad de la información relativa a los clientes.
El aviso a que se refiere este artículo, deberá entregarse a la Comisión con una anticipación de por lo menos treinta días hábiles a la fecha en que pretendan contratar los servicios de que se trata. Al efecto, las Instituciones deberán especificar si la prestación de los servicios se realizará total o parcialmente, por terceros residentes en territorio nacional o en el extranjero, en cuyo caso resultará aplicable lo establecido en los Artículos 321 y 322 siguientes.
La Comisión, en protección de los intereses del público usuario y en su carácter de autoridad supervisora, antes de la fecha en que se pretenda contratar el servicio o comisión respectivos, tendrá la facultad de requerir a la Institución que la prestación de dicho servicio no se realice a través del tercero señalado en el aviso a que se refiere el presente artículo, cuando considere que por los términos y condiciones de contratación del servicio o las políticas y procedimientos de control interno, la infraestructura tecnológica o de comunicaciones materia del servicio, sea previsible que no estarían en posibilidad de cumplir las disposiciones aplicables a la propia Institución y, en su caso, pueda verse afectada la estabilidad financiera o continuidad operativa de esta última, a juicio de la Comisión.
En caso de que la Institución no reciba dicho requerimiento por escrito por parte de la Comisión en el plazo antes mencionado, se tomará como afirmativa ficta y podrá iniciarse la prestación del servicio o comisión en cuestión.
Artículo 320.- El aviso a que se refiere el Artículo 319, deberá ser suscrito por el director general de la Institución y reunir los requisitos siguientes:
I. Contener el informe a que se refiere la fracción II del Artículo 318.
En caso de que los servicios a contratar se refieran a la utilización de infraestructura tecnológica o de telecomunicaciones, el aviso deberá contener adicionalmente un informe técnico que especifique el tipo de operaciones o servicios bancarios que habrán de celebrarse utilizando la base tecnológica que le sea proveída por terceros, así como la forma en que se dará cumplimiento a los lineamientos mínimos de operación y seguridad, que se señalan en el Anexo 52 de las presentes disposiciones.
II. Acompañar el proyecto de contrato de prestación de servicios o comisión, señalando la fecha probable de su celebración.
Artículo 321.- Las Instituciones requerirán de la autorización de la Comisión, para la contratación con terceros, otras Instituciones o entidades financieras, cuando la prestación de servicios o la ejecución de la comisión se realicen parcial o totalmente fuera de territorio nacional o por residentes en el extranjero, de conformidad con lo señalado en el Artículo 322 siguiente.
Las Instituciones deberán solicitar la autorización de que se trata, con cuando menos sesenta días hábiles de anticipación a la fecha en que pretendan contratar los servicios o la comisión que correspondan, acompañando para tal efecto la documentación que acredite el cumplimiento de los requisitos señalados en el Artículo 318 anterior y el proyecto de contrato correspondiente. Asimismo, deberá acompañar cuando corresponda, la documentación que acredite el cumplimiento de lo previsto en el Artículo 322 siguiente, así como la demás información conexa que la Comisión requiera para la evaluación de la solicitud.
Artículo 322.- La prestación de los servicios a que se refiere el Artículo 321 anterior, por un proveedor extranjero o cuando se reciban parcial o totalmente fuera de territorio nacional, sólo podrán contratarse cuando obtengan la autorización de la Comisión y se cumplan los requisitos siguientes:
I. Que los terceros con los que se contrate residan en países cuyo derecho interno proporcione protección a los datos de las personas, resguardando su debida confidencialidad, o bien, los países de residencia mantengan suscritos con México acuerdos internacionales en dicha materia o de intercambio de información entre los organismos supervisores, tratándose de entidades financieras.
II. Que las Instituciones manifiesten a la Comisión que mantendrán en sus oficinas principales ubicadas en los Estados Unidos Mexicanos, en idioma español, al menos la documentación e información relativa a las evaluaciones, resultados de auditorías y reportes de desempeño del tercero.
III. Que se cuente con la aprobación del Consejo o, en su caso, del Comité de Auditoría o del comité de riesgos, haciendo constar en el acuerdo respectivo los aspectos siguientes:
a) Que al contratar los servicios no se pone en riesgo el adecuado cumplimiento de las disposiciones aplicables a la Institución.
b) Que las prácticas de negocio del tercero son consistentes con las de operación de la Institución.
c) Que no habría impacto en la estabilidad financiera o continuidad operativa de la Institución, con motivo de la distancia geográfica y, en su caso, del lenguaje que se utilizará en la prestación del servicio.
La Comisión tendrá la facultad de requerirle a la Institución el proyecto del contrato y, en su caso, el contrato celebrado, con traducción al idioma español.
Artículo 323.- La contratación de los servicios o las comisiones a que se refiere el presente Capítulo, es sin perjuicio de que las operaciones y servicios correspondientes se ajusten a las disposiciones aplicables.
Asimismo, dicha contratación no exime a las Instituciones, ni a sus directivos, delegados fiduciarios, demás empleados o representantes, así como a las personas que ostenten cualquier empleo, cargo o comisión otorgado por la propia Institución, de la obligación de observar estrictamente lo establecido en las leyes y disposiciones de carácter general o prudencial que de ellas deriven.
La Comisión podrá decretar las medidas que estime necesarias, a fin de que las Instituciones mantengan términos y condiciones de operación que no afecten la adecuada prestación de sus servicios al público, ni en general, la estabilidad financiera o continuidad operativa de la Institución.
Artículo 324.- La Comisión, previo derecho de audiencia, podrá ordenar la suspensión parcial o total, temporal o definitiva, de la prestación de los servicios o comisiones a través del tercero de que se trate, cuando las Instituciones incumplan con las disposiciones contenidas en el presente Capítulo y pueda verse afectada la estabilidad financiera o continuidad operativa de la Institución, a juicio de la propia Comisión. Lo anterior, salvo que al ejercer el citado derecho de audiencia, la Institución presente un programa de regularización para ser autorizado por la Comisión, la cual tendrá un plazo de treinta días naturales, contado a partir de que la Institución respectiva presente la solicitud correspondiente, a efecto de resolver lo conducente.
El programa de regularización citado deberá reunir, cuando menos, los requisitos siguientes:
I. Señalar las acciones que habrán de implementar para dar cumplimiento a las disposiciones aplicables y asegurar la estabilidad financiera o continuidad operativa de la Institución.
II. Especificar las etapas y plazos de cada una las acciones a implementar. En ningún caso la ejecución y cumplimiento del programa deberá exceder de tres meses, contado a partir de su autorización.
III. Indicar el personal responsable de la instrumentación de cada una de las etapas del programa.
Artículo 325.- Las Instituciones deberán contar con un padrón que contenga el tipo de servicios y operaciones contratadas y datos generales de los prestadores de servicios o comisionistas, distinguiendo aquéllos que cuentan con residencia en el territorio nacional o en el extranjero. Dicho padrón deberá estar a disposición de la Comisión para su consulta.
Sin perjuicio de lo anterior, la Institución deberá presentar a la Comisión un informe anual que contenga la lista de las personas con las que tengan celebrados contratos vigentes en términos del presente Capítulo, incluyendo sus domicilios, así como la descripción de las políticas y procedimientos utilizados para cerciorarse de que los prestadores de servicios o comisionistas, darán la continuidad del servicio con niveles adecuados de desempeño, confiabilidad, capacidad, seguridad, mantenimiento, integridad y con estándares de calidad acordes a los requerimientos de sus necesidades. Dichas políticas deberán formar parte del Sistema de Control Interno de la Institución.
Artículo 326.- Las Instituciones, en sus políticas relativas a la contratación de servicios, contemplarán como medidas de evaluación para la contratación de los servicios a que se refiere este Capítulo, lo siguiente:
I. La capacidad de los terceros para implementar medidas o planes que permitan mantener la continuidad del servicio con niveles adecuados de desempeño, confiabilidad, capacidad y seguridad.
II. La integridad, precisión, seguridad, confidencialidad, resguardo, oportunidad y confiabilidad en el manejo de la información generada con motivo de la prestación de los servicios, así como el acceso a dicha información, a fin de que sólo puedan allegarse a ella, las personas que deban conocerla.
III. Los métodos con que cuenta la Institución para evaluar el cumplimiento al contrato correspondiente, o bien, la adecuada prestación de los servicios.
IV. Los criterios y procedimientos para calificar periódicamente la calidad del servicio.
V. La capacidad de las Instituciones de mantener la continuidad en la prestación de los servicios que se hubieren contratado o bien, las opciones externas con que se cuenta en cualquier caso, a fin de disminuir la vulnerabilidad operativa de la Institución.
VI. La afectación de los Niveles de Tolerancia al Riesgo.
VII. La capacidad del Sistema de Control Interno, para prever, identificar, administrar, dar seguimiento y evaluar los riesgos que puedan derivarse de la prestación de los servicios a que se refiere este Capítulo.
El Consejo deberá designar a un responsable, que podrá ser el auditor interno o el comité de auditoría, para que dé seguimiento, evalúe y reporte periódicamente a dicho Consejo, el desempeño del prestador de servicios o comisionista, así como el cumplimiento de las normas aplicables relacionadas con los servicios o las operaciones correspondientes.
El Consejo deberá revisar cuando menos una vez al año, las políticas de selección de los terceros y aprobar las modificaciones que sean necesarias con base en los resultados de las evaluaciones realizadas por el responsable de dar seguimiento y evaluar el desempeño de aquéllos.?
TRANSITORIOS
PRIMERO.- La presente Resolución entrará en vigor a los noventa días naturales siguientes al de su publicación en el Diario Oficial de la Federación.
SEGUNDO.- Las Instituciones que mantengan contratos de prestación de servicios o comisiones a que se refiere esta Resolución, o que cuenten con una autorización u opinión favorable de conformidad con las disposiciones aplicables, al renovar la prestación del servicio o comisión, que corresponda o bien, a los ciento ochenta días naturales siguientes de la entrada en vigor de la presente Resolución, lo que ocurra primero, deberán realizar los actos necesarios para sujetarse a lo señalado en esta última.
TERCERO.- Las Instituciones contarán con un plazo que vencerá el 31 de diciembre de 2007, para dar cumplimiento a los lineamientos mínimos de operación y seguridad para la contratación de servicios de apoyo tecnológico, que se contienen en el Anexo 52 de las disposiciones de carácter general que se modifican mediante la presente Resolución.
Atentamente
México, D.F., a 13 de noviembre de 2006.- El Presidente de la Comisión Nacional Bancaria y de Valores, Jonathan Davis Arzac.- Rúbrica.
ANEXO 52
LINEAMIENTOS MINIMOS DE OPERACION Y SEGURIDAD PARA LA CONTRATACION DE SERVICIOS DE APOYO TECNOLOGICO
Las Instituciones deberán considerar los aspectos siguientes:
I.- Aspectos en materia de operación
a. Esquemas de redundancia o mecanismos alternos en las telecomunicaciones de punto a punto que permitan contar con enlaces de comunicación que minimicen el riesgo de interrupción en el servicio de telecomunicaciones.
b. Estrategia de continuidad en los servicios informáticos que proporcionen a la entidad la capacidad de procesar y operar los sistemas en caso de contingencia, fallas o interrupciones en las telecomunicaciones y/o de los equipos de cómputo centrales y otros que estén involucrados en el servicio de procesamiento de información de operaciones o servicios.
c. Mecanismos para establecer y monitorear la calidad en los servicios de información así como los tiempos de respuesta de los sistemas y aplicaciones.
d. Esquema de soporte técnico, a fin de solucionar problemas e incidencias, con independencia, en su caso, de las diferencias en husos horarios y días hábiles.
e. Mecanismos mediante los cuales se mantendrá copia de la información considerada por la institución como crítica para fines de la continuidad del servicio, procesada por el prestador de servicios, en las instalaciones de la entidad financiera contratantes ubicadas en territorio nacional.
II.- Aspectos en materia de seguridad
a. Medidas para asegurar transmisión cifrada punto a punto y elementos o controles de seguridad en cada uno de los nodos involucrados en el envío y recepción de datos.
b. Medidas para el almacenamiento seguro de los datos que comprometan información protegida por el secreto que regula la Ley de Instituciones de Crédito a favor de los clientes, incluyendo aquella información resguardada como respaldo o cualquier otra copia que por cualquier motivo llegara a realizarse, mediante mecanismos de encripción para evitar que personas con acceso a dicha información, puedan conocer datos del propietario de las cuentas basándose en la información a su disposición.
c. Establecimiento de funciones del oficial de seguridad. Para efectos de que la institución de crédito contratante se mantenga enterada del acceso y uso de la información, deberá designar a una persona que se desempeñe como oficial de seguridad en la institución, cuya función consistirá, entre otras cosas, en administrar y autorizar los accesos y llaves criptográficas, las cuales deberán almacenarse y resguardarse en las instalaciones de la entidad financiera en territorio nacional. Dichos accesos deberán corresponder a la necesidad de conocer la información de acuerdo a las funciones documentadas del puesto.
d. Esquema mediante el cual, se mantendrá en una oficina de la institución de crédito contratante, ubicada en territorio nacional, la bitácora de acceso a la información por el personal debidamente autorizado.
III.- Auditoría y Supervisión
a. Políticas y procedimientos relativos a la realización de auditorías internas y/o externas sobre la infraestructura, controles y operación del centro de cómputo del tercero, relacionado con el ambiente de producción para la Institución, al menos una vez por año con el fin de evaluar el cumplimiento de lo mencionado en el presente anexo.
IV.- Prestación de servicios otorgados por un integrante del mismo grupo financiero o empresarial al que pertenezca la Institución.
a. Tratándose de prestadores de servicios que sean parte del mismo Grupo Empresarial o Financiero al que la Institución pertenezca y que procese sus sistemas informáticos en territorio nacional, la información puede conservarse sin mecanismos de encripción.
_____________________
En el documento que usted está visualizando puede haber texto, caracteres u objetos que no se muestren correctamente debido a la conversión a formato HTML, por lo que le recomendamos tomar siempre como referencia la imagen digitalizada del DOF o el archivo PDF de la edición.
El contenido, forma y alcance de los documentos publicados, son estricta responsabilidad de su emisor.