Artículo 142

(18) Artículo 142.- Las casas de bolsa para llevar a cabo la administración del riesgo operacional deberán asegurar el cumplimiento de las normas prudenciales en materia de control interno a que se refieren las presentes disposiciones.

Adicionalmente, las casas de bolsa deberán como mínimo desarrollar las funciones siguientes, respecto de:

1. (18)I.

   La administración del riesgo operacional:

2. a)

   Identificar y documentar los procesos que describen el quehacer de cada unidad de la casa de bolsa.

3. (18)b)

   Identificar y documentar los riesgos operacionales implícitos o los procesos a que hace referencia el inciso a) anterior.

4. c)

   Evaluar e informar por lo menos trimestralmente, las posibles consecuencias que sobre el negocio generaría la materialización de los riesgos identificados e informar los resultados a los responsables de las unidades implicadas, a fin de que se evalúen las diferentes medidas de control de dichos riesgos.

5. d)

   Establecer los niveles de tolerancia para cada tipo de riesgo identificado, definiendo sus causas, orígenes o factores de riesgo.

6. (18)e)

   Para el registro de eventos de pérdida por riesgo operacional, incluyendo el tecnológico y legal, deberán:

1. Obtener una clasificación detallada de las distintas unidades y líneas de negocio al interior de la casa de bolsa.

2. Identificar y clasificar los diferentes tipos de eventos de pérdida conforme al numeral anterior.

(18) 3. Mantener una base de datos histórica que contenga el registro sistemático de los diferentes tipos de pérdida y su costo, en correspondencia con su registro contable, debidamente identificados con la línea o unidad de negocio de origen, según las clasificaciones al efecto definidas por los numerales 1 y 2 anteriores. Para la generación y actualización de dicha base de datos, se deberá cumplir con lo establecido en el Anexo 1 Bis de las presentes disposiciones.

El desempeño de las funciones descritas en los incisos a), b), c) y d) a que hace referencia la presente fracción serán responsabilidad del comité de riesgos de la casa de bolsa de que se trate, pudiendo auxiliarse en el área que se estime conveniente, siempre y cuando con ello no se susciten conflictos de interés.

(18) Por lo que toca a las funciones relativas al riesgo operacional a que hace referencia el inciso e) anterior, su desempeño corresponderá a la unidad de administración integral de riesgos de la casa de bolsa correspondiente. Para ello,

las casas de bolsa deberán establecer mecanismos que aseguren un adecuado flujo, calidad y oportunidad de la información entre la referida unidad de administración integral de riesgos y el resto de las unidades al interior de la entidad, a fin de que estas últimas provean a la primera los elementos necesarios para llevar a cabo su función.

1. II.

   La administración del riesgo tecnológico:

2. a)

   Evaluar la vulnerabilidad en el hardware, software, sistemas, aplicaciones, seguridad, recuperación de información y redes, por errores de procesamiento u operativos, fallas en procedimientos, capacidades inadecuadas, insuficiencia de los controles instalados, entre otros.

3. b)

   Considerar en la implementación de controles internos, respecto del hardware, software, sistemas, aplicaciones, seguridad, recuperación de información, comunicaciones y redes de la casa de bolsa, cuando menos, los aspectos siguientes:

1. Mantener políticas y procedimientos que aseguren en todo momento el nivel de calidad del servicio y la seguridad e integridad de la información; lo anterior con especial énfasis cuando las casas de bolsa contraten la prestación de servicios por parte de proveedores externos para el procesamiento y almacenamiento de dicha información.

2. Asegurar que cada operación o actividad realizada por los usuarios deje constancia electrónica que conformen registros de auditoría.

3. Implementar mecanismos que midan y aseguren niveles de disponibilidad y tiempos de respuesta, que garanticen la adecuada ejecución de las operaciones y servicios realizados.

(73) 4. Establecer e implementar políticas y procedimientos de clasificación de la información y su tratamiento, de acuerdo con el grado de riesgo que dicha información se encuentre expuesta y que será determinado por cada una de las áreas operativas de la casa de bolsa. Dicha clasificación deberá utilizarse para evaluar e implementar los controles necesarios en la infraestructura tecnológica y en los procesos operativos, con el fin de procurar la confidencialidad, integridad y disponibilidad de la información de la casa de bolsa y de sus clientes.

1. c)

   En caso de mantener canales de distribución para operaciones con clientes realizadas a través de la red electrónica mundial denominada Internet, sucursales, entre otros, deberán en lo conducente:

1. Establecer medidas y controles necesarios que permitan asegurar confidencialidad en la generación, almacenamiento, transmisión y recepción de las claves de identificación y acceso para los usuarios.

1. Implementar medidas de control que garanticen la protección, seguridad y confidencialidad de la información generada por la realización de operaciones a través de cualquier medio tecnológico.

3. Contar con esquemas de control y políticas de operación, autorización y acceso a los sistemas, bases de datos y aplicaciones implementadas para la realización de operaciones a través de cualquier medio tecnológico.

4. Incorporar los medios adecuados para respaldar y, en su caso recuperar, la información que se genere respecto de las operaciones que se realicen a través de cualquier medio tecnológico.

5. Diseñar planes de contingencia, a fin de asegurar la capacidad y continuidad de los sistemas implementados para la celebración de operaciones a través de cualquier medio tecnológico. Dichos planes deberán comprender, además, las medidas necesarias que permitan minimizar y reparar los efectos generados por eventualidades que, en su caso, llegaren a afectar el continuo y permanente funcionamiento de los servicios.

6. Establecer mecanismos para la identificación y resolución de aquellos actos o eventos que puedan generarle a la casa de bolsa, riesgos derivados de:

1. i.

   Comisión de hechos, actos u operaciones fraudulentas a través de medios tecnológicos.

2. ii.

   Contingencias generadas en los sistemas relacionados con los servicios prestados y operaciones celebradas a través de cualquier medio tecnológico.

3. iii.

   El uso inadecuado por parte de los usuarios de los canales de distribución antes mencionados, para operar con la casa de bolsa, a través de los medios citados en el presente artículo.

La casa de bolsa deberá evaluar las circunstancias que en materia de riesgo tecnológico pudieran influir en su operación ordinaria, las cuales se sujetarán a vigilancia permanente a fin de verificar el desempeño del proceso de administración de riesgos.

1. III.

   La administración del riesgo legal:

2. a)

   Establecer políticas y procedimientos para que en forma previa a la celebración de actos jurídicos, se analice la validez jurídica y procure la adecuada instrumentación legal de éstos, incluyendo la formalización de las garantías en favor de la casa de bolsa, a fin de evitar vicios en la celebración de las operaciones.

3. b)

   Estimar el monto de pérdidas potenciales derivado de resoluciones judiciales o administrativas desfavorables, así como la posible aplicación de sanciones, en relación con las operaciones que se lleven a cabo. En dicha estimación, deberán incluirse los litigios en los que la casa de bolsa sea actora o demandada, así como los procedimientos administrativos en que ésta participe.

4. c)

   Analizar los actos que realice la casa de bolsa, cuando se rijan por un sistema jurídico distinto al nacional y evaluar las diferencias existentes entre el sistema de que se trate y el nacional, incluyendo lo relativo al procedimiento judicial.

5. d)

   Dar a conocer a sus directivos y empleados, las disposiciones legales y administrativas aplicables a las operaciones.

6. e)

   Realizar, cuando menos anualmente, auditorías legales internas. En todo caso, la persona o unidad responsable de dicha auditoría deberá ser independiente del departamento jurídico de la casa de bolsa.

7. f)

   Mantener una base de datos histórica sobre las resoluciones judiciales y administrativas y sus causas y costos, asegurándose que aquellas resoluciones judiciales y administrativas que resulten en eventos de pérdida sean incluidas en la fracción I, inciso e), numeral 3 anterior.

Corresponderá al comité de riesgos de la casa de bolsa el cumplimiento de las funciones relativas al riesgo tecnológico y al riesgo legal a que hacen referencia las fracciones II y III anteriores, respectivamente, pudiendo auxiliarse en el área que se estime conveniente, siempre y cuando con ello no se susciten conflictos de interés.

Sección Quinta De los informes de administración de riesgos y de la revelación de información