Circular 1/2006 emitida por el Banco de México - Bansefi

151.para prestar el servicio con niveles adecuados de desempeño confiabilidad y seguridad, así como los efectos quepudieran producirse en una o más operaciones que realice la Institución de conformidad con lo previsto por elpropio Artículo 319 siguiente.(15) III. Prever en el contrato de prestación de servicios o comisión respectivo o bien, en algún otro documento en el queconste la aceptación incondicional de quien proporcione el servicio o del comisionista, para:(9) a) Recibir visitas domiciliarias por parte del auditor externo de la Institución y de la Comisión, a efecto dellevar a cabo la supervisión correspondiente, con el exclusivo propósito de obtener información paraconstatar que los servicios o comisiones contratados por la Institución, le permiten a esta última cumplircon las disposiciones de la Ley que le resultan aplicables. Para que se realicen las visitas referidas, lasInstituciones podrán designar un representante.(9) b) Practicar auditorías por parte de la Institución o a través de terceros que la propia Comisión designe, enrelación con los servicios objeto de dicho contrato, a fin de verificar la observancia de las disposicionesaplicables a las Instituciones.(9) c) Entregar a solicitud de la Institución, al auditor externo de la propia Institución y a la Comisión o altercero que esta designe, libros, sistemas, registros, manuales y documentos en general, relacionadoscon la prestación del servicio de que se trate. Asimismo, permitirá que se tenga acceso al personalresponsable y a sus oficinas e instalaciones en general, relacionados con la prestación del servicio encuestión.(15) Los requerimientos de información y, en su caso, las observaciones o medidas correctivas que deriven de lasupervisión que realice la Comisión en términos de las disposiciones aplicables, se realizarán directamente a laInstitución. Asimismo, la Comisión podrá, en todo momento, ordenar la realización de las visitas y auditoriasseñaladas en los incisos a) a b) anteriores, precisando los aspectos que unas y otras deberán comprender,quedando obligada la propia Institución a rendir a la Comisión un informe al respecto.(9) IV. Contar con políticas y procedimientos para vigilar el desempeño del tercero y el cumplimiento de susobligaciones contractuales, que deberán contener aspectos relativos a:(9) a) Las restricciones o condiciones, respecto a la posibilidad de que el tercero subcontrate, a su vez, laprestación del servicio.(9) b) La confidencialidad y seguridad de la información de los clientes.(9) c) Las obligaciones de la Institución y del tercero, los procedimientos para vigilar su cumplimiento, asícomo en su caso, las consecuencias legales en el evento de incumplimiento.(9) d) Los mecanismos para la solución de disputas relativas al contrato de prestación de servicios y comisión.(9) e) Las medidas para contar con planes de continuidad del negocio, incluyendo los procedimientos decontingencia en caso de desastres.(9) f) La propiedad de la Institución sobre las bases de datos producto de los servicios y comisiones.(9) g) Los lineamientos para asegurarse de que el tercero reciba periódicamente una adecuada capacitacióne información, en relación con los servicios contratados.(9) h) El cumplimiento de los lineamientos mínimos de operación y seguridad que se señalan en el Anexo 52de las presentes disposiciones, en caso de que los servicios a contratar se refieran a la utilización deinfraestructura tecnológica o de telecomunicaciones.(15) V. Contar con planes para evaluar y reportar al Consejo, al Comité de Auditoría o al director general, según laimportancia del servicio contratado, el desempeño del tercero, así como el cumplimiento de la normativa aplicablerelacionada con dicho servicio. Tratándose de servicios de procesamiento de información, la Institución deberápracticar cada dos años, auditorías que tengan por objeto verificar el grado de cumplimiento del presenteCapítulo, así como las establecidas en el Anexo 52. Sin perjuicio de lo anterior, la Comisión podrá ordenar larealización de la citada auditoría con anticipación a dicho periodo, cuando a su juicio, existan condiciones deriesgo en materia de operación y seguridad de la información.(16) VI. Preveer que el director general, el Comité de Auditoría, así como el auditor interno definan y vigilen, acorde a sucompetencia, el cumplimiento de los mecanismos para el adecuado manejo, control y seguridad de la