Artículo 117 Bis 7

(73) Artículo 117 Bis 7.- La dirección general será la responsable de la debida implementación del sistema de control interno; lo anterior, en el ámbito de las funciones que correspondan a dicha dirección.

(73) En la implementación deberá procurarse que su funcionamiento sea acorde con las estrategias y fines de la casa de bolsa, para lo cual podrá aplicar las medidas preventivas y correctivas necesarias para subsanar cualquier deficiencia detectada.

(73) Al efecto, la dirección general, en adición a lo señalado en estas disposiciones, deberá prever las medidas que estime necesarias para que las actividades y servicios de la casa de bolsa y el sistema de control interno sean congruentes entre sí, desarrollando, entre otras, las actividades siguientes:

1. (73)I.

   Elaborar, revisar y, en su caso, actualizar o proponer la actualización, para someter a la consideración del comité de auditoría y posterior presentación al consejo de administración de la casa de bolsa, por lo menos una vez al año o con frecuencia mayor de acuerdo con lo determinado al efecto por el propio consejo de administración, los objetivos y lineamientos del sistema de control interno conforme a lo que se establece en el artículo 106 de estas disposiciones, el manual de conducta de la casa de bolsa, así como el plan de continuidad de negocio.

2. (108)II.

   Elaborar, revisar y, en su caso, actualizar o proponer la actualización de los manuales de la casa de bolsa, definiendo las áreas o personal responsable de las actividades respectivas. Dichos manuales serán de cumplimiento obligatorio para directivos, empleados y personal de la casa de bolsa.

3. (73)III.

   Identificar y evaluar los factores internos y externos que puedan afectar la consecución de las estrategias y fines que la propia casa de bolsa haya establecido.

4. (73)IV.

   Diseñar para aprobación del consejo de administración, la estructura organizacional de la casa de bolsa y sus modificaciones, observando para ello las políticas generales en la materia elaboradas por el director general y sujetas a la consideración del comité de auditoría, a que hace referencia la fracción V del artículo 106 de las presentes disposiciones. Al efecto, dicha estructura deberá contemplar, cuando menos, los aspectos siguientes:

5. (73)a)

   Las facultades generales o específicas otorgadas al personal, preservando una adecuada segregación y delegación de funciones, por línea de producto, tipo de operación, monto, nivel jerárquico, áreas, unidades de negocios o administrativas y comités, entre otros criterios de clasificación, así como sus restricciones.

6. (73)b)

   La definición de áreas y niveles jerárquicos del personal de la casa de bolsa, asegurándose que sus responsabilidades sean acordes con sus facultades.

7. (73)c)

   La delimitación de facultades entre el personal que autorice, ejecute, vigile, evalúe, registre y contabilice las transacciones, evitando su concentración en una misma persona y un posible conflicto de interés.

8. (73)d)

   La descripción general de las funciones de contraloría interna a que se refiere el artículo 117 Bis 12 de estas disposiciones, indicando la estructura y las características generales para el desarrollo de dichas funciones, así como las medidas establecidas para evitar que se presenten conflictos de interés en su desempeño.

9. (73)V.

   Determinar los canales de comunicación y de flujo de información entre las distintas unidades y áreas de la casa de bolsa, que tengan por objeto, al menos, lo siguiente:

10. (73)a)

    Generar información financiera, económica, contable, jurídica y administrativa de la casa de bolsa, así como la relativa al seguimiento de los mercados financieros, relevante para la toma de decisiones. Dicha información deberá formularse de manera tal que facilite su uso y permanente actualización.

11. (73)b)

    Proporcionar información en forma oportuna al personal que corresponda conforme a su nivel jerárquico y facultades.

12. (73)c)

    Procesar, utilizar y conservar información relativa a cada transacción, con grado de detalle suficiente; utilizando mecanismos de seguridad que permitan su consulta solo al personal autorizado y que limiten su modificación.

13. (73)VI.

    Proveer mecanismos para que las diversas actividades en la casa de bolsa se lleven a cabo por personal que cuente con la calidad técnica y experiencia necesarias, así como con honorabilidad, para lo cual deberá efectuar periódicamente una evaluación del personal, con excepción del responsable de las funciones de auditoría interna y lo dispuesto en el inciso c), fracción VIII, del artículo 117 Bis de estas disposiciones.

14. (73)VII.

    Proporcionar en tiempo y forma, información a las autoridades financieras competentes, conforme a lo establecido en las disposiciones legales aplicables.

15. (73)VIII.

    Proveer a todas las áreas de la casa de bolsa de los objetivos del sistema de control interno y los lineamientos para su implementación y de los manuales de acuerdo a su ámbito de competencia, así como difundirlos oportunamente.

16. (73)IX.

    Elaborar programas anuales de verificación del apego por parte de las áreas de la casa de bolsa al sistema de control interno, así como de las políticas y procedimientos en materia de control interno establecidos en los distintos manuales. Dichos programas deberán ser implementados por el responsable de las funciones de contraloría interna.

17. (73)X.

    Asegurar la integridad y adecuado mantenimiento de la infraestructura tecnológica, la inalterabilidad, confidencialidad y disponibilidad de la información procesada, almacenada y transmitida por esta, determinando los mecanismos de respaldo de la información en caso fortuito o de fuerza mayor, así como los planes de contingencia que permitan asegurar la continuidad de la operación de la casa de bolsa.

18. (73)XI.

    Establecer controles para evitar que terceros o personal de la casa de bolsa, utilicen a esta última para la comisión de actos ilícitos o irregularidades.

19. (73)XII.

    Procurar que se observen procedimientos, estructuras organizacionales y políticas de seguridad informáticas adecuadas a la casa de bolsa.

20. (108)XIII.

    Verificar que en las Ofertas públicas restringidas únicamente participen Inversionistas institucionales e Inversionistas calificados para participar en ofertas públicas restringidas y en el caso de las Ofertas públicas de Valores objeto de Inscripción simplificada, que participen únicamente Inversionistas institucionales e Inversionistas calificados.

Asimismo, deberán comprobar que los clientes de las casas de bolsa que soliciten operaciones en el mercado secundario sobre Valores de Oferta pública restringida o sobre Valores objeto de Inscripción simplificada sean únicamente Inversionistas institucionales, Inversionistas calificados e Inversionistas calificados para participar en ofertas públicas restringidas, según corresponda.

1. (73)XIV.

   Elaborar, documentar e implementar las políticas y procedimientos necesarios a fin de que la infraestructura tecnológica que utilice la casa de bolsa para realizar sus procesos y prestar servicios, cumpla con lo siguiente:

2. (73)a)

   Cada elemento de la infraestructura tecnológica realice en todo momento las funciones para el que fue diseñado, desarrollado o adquirido.

3. (73)b)

   Incluyan controles que permitan un acceso equitativo y oportuno a todos sus clientes de conformidad con lo que realizará cada uno de ellos en los sistemas informáticos a los que tenga acceso.

4. (73)c)

   Cuente con procesos, funcionalidades y configuraciones documentadas, incluyendo su metodología de desarrollo o adquisición, así como el registro de sus cambios y el inventario de todos los elementos de la infraestructura tecnológica.

5. (73)d)

   Incorpore aspectos de seguridad de la información y un mecanismo de control de proyectos para cada elemento de la infraestructura tecnológica durante las diversas etapas del ciclo de vida, considerando la elaboración de requerimientos, diseño, desarrollo o adquisición, pruebas de implementación, procesos de liberación, pruebas periódicas, gestión de cambios, remplazo y destrucción de información. Tratándose de elementos de comunicaciones y de equipos de cómputo, dichos aspectos de seguridad deberán incluir, al menos:

6. (73)i)

   Segregación lógica y física de las diferentes redes en distintos dominios dependiendo de la función que desarrollen o el tipo de datos que se transmitan.

(73) ii) Configuración segura de acuerdo con el tipo de elemento, considerando al menos, puertos, servicios, permisos, listas de acceso, actualizaciones del fabricante y configuración de fábrica.

1. (73)e)

   Que cada elemento de la infraestructura tecnológica sea probado antes de ser implementado o al ser modificado, utilizando mecanismos de control de calidad que eviten que en dichas pruebas se utilicen datos reales del ambiente de producción, se revele información sensible o de seguridad, o que se introduzca cualquier funcionalidad no reconocida para dicho elemento.

2. (73)f)

   Cuenten con las licencias o autorizaciones de uso que sean necesarias.

3. (73)g)

   Contengan estrictas medidas de seguridad para el acceso y uso de la información que sea transmitida, almacenada y procesada en la infraestructura tecnológica, considerando al menos lo siguiente:

4. (73)i)

   Mecanismos de identificación y autenticación de todos y cada uno de los usuarios de la infraestructura tecnológica de la casa de bolsa, que permitan reconocerlos de forma inequívoca y aseguren el acceso únicamente a las personas autorizadas expresamente para ello. Ambos mecanismos deberán incluir controles específicos para aquellos usuarios con mayores privilegios, derivados de sus funciones, tales como las de administración de bases de datos y de sistemas operativos.

(73) ii) Perfiles de usuarios que limiten los accesos únicamente a la funcionalidad de la infraestructura tecnológica e información requerida, con base en las responsabilidades y facultades del puesto de cada usuario.

(73) iii) Mecanismos de cifrado de la información conforme al grado de sensibilidad que la casa de bolsa determine, cuando dicha información sea transmitida o almacenada.

(73) iv) Composición robusta de contraseñas y claves de acceso.

1. (73)v)

   Control de sesiones no atendidas, así como de sesiones simultáneas con un mismo identificador de usuario.

(73) vi) Mecanismos de seguridad, tanto de acceso físico, como ambientales y de energía eléctrica, que protejan y permitan la operación conforme a las

especificaciones del proveedor, fabricante o desarrollador de cada elemento de la infraestructura tecnológica de la casa de bolsa.

1. (73)h)

   Minimicen el riesgo de interrupción de la operación con base en mecanismos de respaldo y procedimientos de recuperación de la información, así como de la infraestructura tecnológica y los medios alternos para el intercambio de información en concordancia con lo dispuesto en el artículo 117 Bis 9 de las presentes disposiciones.

2. (73)i)

   Mantengan registros de auditoría, incluyendo la información detallada de los accesos y la operación o actividad efectuadas por los usuarios, que eviten su repudio, con independencia del nivel de privilegios con el que estos cuenten para el acceso, generación o modificación de la información que reciban, generen, almacenen o transmitan en cada elemento de la infraestructura tecnológica, así como los procedimientos para la revisión periódica de dichos registros.

3. (73)j)

   Contemplen la realización de pruebas tendientes a detectar vulnerabilidades y amenazas, así como de penetración en los diferentes elementos de su infraestructura tecnológica a fin de implementar mecanismos de defensa que prevengan el acceso y uso no autorizado de esta. Dichas pruebas se realizarán cuando menos una vez al año o cuando efectúen modificaciones sustantivas en algún elemento de la infraestructura tecnológica.

4. (73)k)

   Contengan procesos de reacción y manejo de incidentes de seguridad que aseguren la detección, clasificación, atención, investigación, diagnóstico, reporte a niveles jerárquicos competentes, solución, seguimiento y comunicación de dichos incidentes.

5. (73)l)

   Cuenten con ejercicios de planeación que permitan medir la capacidad de la infraestructura tecnológica que soporta su operación, definidos por las casas de bolsa, así como que se apeguen a los resultados de dichos ejercicios respecto de las necesidades de incremento de capacidad.

6. (73)m)

   Contemplen controles automatizados que minimicen el riesgo de que el personal usuario cometa errores u omisiones en los procesos manuales o semi automatizados que deban realizar en los aplicativos de la infraestructura tecnológica.

7. (73)n)

   Permitan detectar la alteración o falsificación de registros en la infraestructura tecnológica.

8. (73)o)

   Implementen mecanismos que midan y aseguren niveles de disponibilidad y tiempos de respuesta, que garanticen la ejecución de las operaciones y servicios realizados.

9. (73)XV.

   Implementar los mecanismos necesarios para realizar las actividades a que se refiere el artículo 171 de la Ley que le han sido autorizadas a la casa de bolsa, sin poner en riesgo su valor económico, la confidencialidad de la información y la continuidad de sus operaciones. Los mecanismos a que se refiere el presente párrafo deberán, al menos:

10. (73)a)

    Salvaguardar los activos propiedad de la casa de bolsa.

11. (73)b)

    Asegurar que la información de la casa de bolsa sea precisa, íntegra y oportuna, así como que los sistemas de información coadyuven a la efectiva toma de decisiones, evaluando, registrando y documentando los activos, pasivos, resultados y operaciones fuera de balance.

12. (73)c)

    Evitar y prevenir potenciales conflictos de interés entre las distintas unidades de la casa de bolsa, incluyendo aquellos que eviten conflictos de interés al operar la cuenta propia, la cuenta de terceros y la prestación de los servicios de formación de mercado en términos de estas disposiciones.

13. (73)d)

    Asegurar que todas las transacciones sean aprobadas, procesadas y registradas correctamente.

14. (73)e)

    Contemplar las medidas necesarias para prevenir y detectar en la casa de bolsa, actos u operaciones con recursos, derechos o bienes que procedan o representen el producto de un probable delito.

15. (73)f)

    Proteger la integridad de los sistemas informáticos, su adecuado mantenimiento, respaldo y recuperación de la información.

16. (73)g)

    Dar cumplimiento a la fracción XIII anterior.

17. (108)XVI.

    Aplicar las medidas correctivas y preventivas determinadas por el consejo de administración o el comité de auditoría, relacionadas con las deficiencias o desviaciones del sistema de control interno.

18. (108)XVI.

    Dictar las medidas necesarias para que en el manejo de la información relativa a los clientes de la casa de bolsa, se observe lo relativo al secreto bursátil.

19. (108)XVII.

    Designar al área o persona responsable de las funciones de contraloría interna.

(73) Asimismo, el director general de las casas de bolsa, será el encargado de elaborar y presentar al comité de auditoría para su evaluación y posterior aprobación por el consejo de administración, las políticas para el adecuado empleo y aprovechamiento de los recursos humanos y materiales de la casa de bolsa.

(73) El director general informará por escrito, al menos anualmente, al consejo de administración y al comité de auditoría, sobre el desempeño de las actividades a que se refiere el presente artículo, así como del funcionamiento del sistema de control interno en su conjunto.