Artículo 321 Bis 2

(301) Artículo 321 Bis 2.- Las Instituciones podrán facultar a personas morales, a través de un mandato o comisión, para que contraten o participen en la contratación de terceras personas que actúen como comisionistas de la Institución para que celebren con los clientes y público en general, a nombre y por cuenta de la propia Institución, las operaciones a que se refiere el Artículo 319 de las presentes disposiciones; dichas personas recibirán, para efectos de las presentes disposiciones, el nombre de Administrador de Comisionistas.

(301) Lo anterior, en el entendido de que las Instituciones otorgarán tales facultades, con la finalidad de que el Administrador de Comisionistas organice redes de comisionistas bancarios para que las operaciones que se presten se hagan de manera uniforme, a fin de mantener un estándar de calidad alto en la realización de tales operaciones.

(301) La contratación del Administrador de Comisionistas requerirá de la autorización de la Comisión, para lo cual deberá entregar el proyecto de contrato de mandato o comisión mercantil a celebrarse entre la Institución y el Administrador de Comisionistas, así como el proyecto de contrato con el comisionista correspondiente. Asimismo, las demás obligaciones que las disposiciones impongan a los comisionistas y que el Administrador de Comisionistas pudiera suplir y acreditar, sin que por ello pueda el Administrador de Comisionistas realizar las operaciones a que se refieren el Artículo 319 de estas disposiciones.

(301) Adicionalmente, cuando el Administrador de Comisionistas provea el servicio de infraestructura tecnológica deberá entregar lo siguiente:

1. (301)I.

   Descripción de los servicios de infraestructura de soporte y operativa, equipos, sistemas automatizados de procesamiento de datos y redes de telecomunicaciones que el Administrador de Comisionistas prestará a los comisionistas para la correcta realización de las operaciones.

2. (301)II.

   Esquemas de redundancia o mecanismos alternos en las telecomunicaciones de punto a punto que permitan contar con enlaces de comunicación que minimicen el riesgo de interrupción en el servicio de telecomunicaciones que adoptará el Administrador de Comisionistas o la Institución.

3. (301)III.

   Estrategia de continuidad en los servicios informáticos que proporcionen al comisionista respecto de la capacidad de procesar y operar los sistemas en caso de contingencia, fallas o interrupciones en las telecomunicaciones o de los equipos de cómputo centrales y otros que estén involucrados en el servicio de procesamiento de información de operaciones o servicios.

4. (301)IV.

   Mecanismos a adoptarse por el Administrador de Comisionistas o la Institución para establecer y vigilar la calidad en los servicios de información, así como los tiempos de respuesta de los sistemas y aplicaciones.

5. (301)V.

   Descripción de los controles automatizados que utilizará el Administrador de Comisionistas para evitar que los comisionistas excedan los límites de operación establecidos en el Artículo 323 de las presentes disposiciones, cuando tales operaciones se realicen con la infraestructura tecnológica del Administrador de Comisionistas.

6. (301)VI.

   Descripción de mecanismos automatizados para detectar y prevenir eventos e incidentes de seguridad de la información, así como para evitar conexiones y flujos de datos entrantes o salientes no autorizados y fuga de información, considerando entre otros, medios de almacenamiento removibles.

7. (301)VII.

   Informe detallado de resultados de pruebas de escaneo de vulnerabilidades de los componentes de la infraestructura tecnológica del Administrador de Comisionistas que almacenen, procesen o transmitan información de las operaciones bancarias.

(301) Adicionalmente, las pruebas a que se refiere el párrafo anterior deberán realizarse al menos trimestralmente y mantener los informes de resultados y evidencia de las acciones de mitigación implementadas para subsanar las vulnerabilidades de severidad críticas y altas a disposición de la Comisión.

1. (301)VIII.

   Informe de resultados detallado de las pruebas de penetración realizadas por un tercero independiente, cuyo personal cuente con capacidad técnica comprobable mediante certificaciones especializadas en la materia, dichas pruebas deberán contemplar la infraestructura tecnológica del Administrador de Comisionista para la comisión mercantil. Adicionalmente, estas pruebas deberán realizarse al menos una vez al año y mantener los informes de resultados y evidencia de las acciones de mitigación implementadas para subsanar las vulnerabilidades de severidad críticas y altas a disposición de la Comisión.

2. (301)IX.

   Planes de remediación respecto de los hallazgos de las revisiones y pruebas a que se refieren las fracciones VII y VIII anteriores, así como la evidencia de las acciones de mitigación implementadas para subsanar las vulnerabilidades de severidad críticas y altas.

(301) Las Instituciones establecerán en los contratos que celebren con los Administradores de Comisionistas o en los contratos que celebren con los comisionistas y donde participe el Administrador de Comisionistas, según sea procedente de acuerdo con las obligaciones de cada una de las partes en el contrato, lo siguiente:

1. (301)i.

   La obligación del Administrador de Comisionistas de verificar y acreditar ante la Institución que los comisionistas que contrate para la realización de las operaciones previstas en el Artículo 319 anterior, cumplan con los aspectos señalados en el Artículo 318, fracciones II a VII de las presentes

disposiciones, así como realizar las auditorías a que se refiere el Artículo 318 Bis 1 del presente instrumento.

1. (301)ii.

   Establecer que el Administrador de Comisionistas tendrá prohibido:

2. (301)a)

   Llevar a cabo alguna de las operaciones previstas en el Artículo 319 a nombre y por cuenta de la Institución, ni tampoco a nombre propio.

3. (301)b)

   Publicitarse o promocionarse de cualquier forma a través de la papelería o en el anverso de los comprobantes que proporcionen a los clientes por las operaciones que realicen a nombre de la Institución de que se trate.

4. (301)c)

   Subcontratar los servicios relacionados con la comisión mercantil.

5. (301)iii.

   El derecho de la Institución para suspender el contrato en caso de que el Administrador de Comisionistas incumpla con las presentes disposiciones.

(301) El Administrador de Comisionistas deberá verificar que los comisionistas que conformen su red cumplan con lo establecido en el Anexo 58 de las presentes Disposiciones.