Circular 1/2006 emitida por el Banco de México - Bansefi

152.información generada, recibida, transmitida, procesada o almacenada en la ejecución de los servicios que serefieran a la utilización de infraestructura tecnológica, de telecomunicaciones o de procesamiento de información,que se realicen parcial o totalmente fuera del territorio nacional.(9) El director general de la Institución será responsable de aprobar las políticas y criterios para seleccionar a losterceros, que contrate la Institución en términos de lo previsto en este artículo. El director general asimismo, seráresponsable de la implementación de dichas políticas y criterios.(16) Las Instituciones que tengan el carácter de filiales podrán recibir o contratar servicios o comisiones de la instituciónfinanciera del exterior que las controle o bien, de las subsidiarias o empresas relacionadas a esta última, sin sujetarse alo dispuesto en las fracciones II a V anteriores, siempre que la Institución filial de que se trate deba ajustarse a laspolíticas y lineamientos que al respecto tenga establecida la referida institución financiera del exterior; se cercioren quetales políticas y lineamientos prevén los aspectos a que el presente artículo se refiere, y tengan acceso a lasevaluaciones y auditorías que realice la citada institución financiera del exterior. Igual supuesto resultará aplicable parael caso de servicios o comisiones que un tercero provea tanto a la institución financiera del exterior como a la filial.(16) La Comisión podrá, en todo momento, solicitar los informes de auditoría a que se refiere el párrafo anterior, a travésde las Instituciones filiales.(15) Artículo 319.- Las Instituciones deberán dar aviso a la unidad administrativa de la Comisión que se encuentre acargo de su supervisión, previamente a la contratación de la prestación de servicios o comisiones para la realización deun proceso operativo o para la administración de bases de datos, con terceros, con otras Instituciones o entidadesfinancieras, cuando a juicio del director general de la Institución de que se trate, puedan afectar cualitativa ocuantitativamente una o más de las operaciones que realice la Institución conforme a su objeto, tomando en cuenta paradeterminar tal circunstancia, entre otras:(9) I. La capacidad de la Institución, para en caso de contingencia mantener la continuidad operativa y larealización de operaciones y servicios con sus clientes.(9) II. La complejidad y tiempo requerido para encontrar un tercero que, en su caso, sustituya al originalmentecontratado.(9) III. La limitación en la toma de decisiones que trasciendan en forma significativa en la situación administrativa,financiera, operacional o jurídica de la propia Institución.(9) IV. La habilidad de la Institución para mantener controles internos apropiados y oportunidad en el registrocontable, así como cumplir con los requerimientos regulatorios en caso de suspensión del servicio por partedel tercero.(9) V. El impacto que la suspensión del servicio tendría en las finanzas, reputación y operaciones de la Institución.(9) VI. La capacidad de la Institución de participar eficientemente en el sistema de pagos.(9) VII. La vulnerabilidad de la información relativa a los clientes.(15) El aviso a que se refiere este Artículo, deberá precisar el proceso operativo o de administración de bases de datosobjeto de los servicios o comisiones de que se trata y entregarse a la Comisión con una anticipación de por lo menosveinte días hábiles a la fecha en que pretendan contratar dichos servicios o comisiones. Tratándose de instituciones debanca de desarrollo, el citado aviso deberá presentarse al inicio de los procedimientos a que se refieren las fracciones Iy II del artículo 26 de la Ley de Adquisiciones, Arrendamientos y Servicios del Sector Público.(9) La Comisión, en protección de los intereses del público usuario y en su carácter de autoridad supervisora, antes dela fecha en que se pretenda contratar el servicio o comisión respectivos, tendrá la facultad de requerir a la Instituciónque la prestación de dicho servicio no se realice a través del tercero señalado en el aviso a que se refiere el presenteartículo, cuando considere que por los términos y condiciones de contratación del servicio o las políticas yprocedimientos de control interno, la infraestructura tecnológica o de comunicaciones materia del servicio, seaprevisible que no estarían en posibilidad de cumplir las disposiciones aplicables a la propia Institución y, en su caso,pueda verse afectada la estabilidad financiera o continuidad operativa de esta última, a juicio de la Comisión.(9) En caso de que la Institución no reciba dicho requerimiento por escrito por parte de la Comisión en el plazo antesmencionado, se tomará como “afirmativa ficta” y podrá iniciarse la prestación del servicio o comisión en cuestión.(9)Artículo 320.- El aviso a que se refiere el Artículo 319, deberá ser suscrito por el director general de la Institución yreunir los requisitos siguientes: