Artículo 40

Artículo 40.- El Órgano de Administración de la institución de fondos de pago electrónico deberá designar a una persona responsable de la administración de Contingencias Operativas, que cuente con conocimientos en la materia y quien podrá ser la misma persona que sea designada como administrador integral de riesgos de conformidad con las disposiciones de carácter general que emita la CNBV. El responsable de la administración de Contingencias Operativas podrá auxiliarse de otras áreas de la propia institución de fondos de pago electrónico o de terceros contratados al efecto, que sean especialistas en la materia. Dicha persona deberá tener, como mínimo, las funciones siguientes:

1. I.

   Elaborar, revisar y, en su caso, actualizar el Plan de Continuidad de Negocio.

2. II.

   Evaluar, por lo menos una vez al año, el alcance y efectividad, así como el cumplimiento de los requerimientos mínimos establecidos en el Anexo 2 de las presentes Disposiciones, así como del Plan de Continuidad de Negocio establecido, e informar los resultados de dicha evaluación al Órgano de Administración y a las áreas responsables de los procesos operativos críticos, identificando, en su caso, los ajustes necesarios para su actualización, fortalecimiento y cumplimiento. En caso de que la institución de fondos de pago electrónico cuente con un comité de auditoría, las funciones previstas en esta fracción serán realizadas por dicho comité.

3. III.

   Coordinar y verificar la ejecución de las pruebas del funcionamiento y suficiencia del Plan de Continuidad de Negocio e informar al Órgano de Administración, cuando menos una vez al año, sobre los resultados de dichas pruebas.

4. IV.

   Definir y presentar al Órgano de Administración, la metodología para la administración de Contingencias Operativas, en los términos establecidos en las disposiciones correspondientes a la administración de eventos operativos. Para efectos de lo anterior, el responsable de la administración de eventos operativos podrá auxiliarse de otras áreas de la propia institución de fondos de pago electrónico o de terceros contratados al efecto, que sean especialistas en la materia.

5. V.

   Definir y presentar para aprobación del Órgano de Administración, las metodologías para estimar los impactos cuantitativos y cualitativos de las Contingencias Operativas. Para efectos de lo anterior, el responsable de la administración de Contingencias Operativas podrá auxiliarse de otras áreas de la propia institución de fondos de pago electrónico o de terceros contratados al efecto que sean especialistas en la materia.

6. VI.

   Verificar la efectividad de la metodología para estimar los impactos cuantitativos y cualitativos de las posibles Contingencias Operativas, al menos una vez al año y, en su caso, corregir dicha metodología dentro del mismo plazo. Asimismo, comparar sus estimaciones contra las Contingencias Operativas efectivamente observadas y, de ser el caso, llevar a cabo las correcciones necesarias.

En el supuesto de que las instituciones de fondos de pago electrónico contraten con terceros los servicios necesarios para soportar su operación, en sustitución de lo previsto en las fracciones II y III del presente artículo, y únicamente respecto de los servicios prestados por dichos terceros, las instituciones deberán contar con la documentación que acredite que tales terceros cuentan con una certificación vigente emitida conforme a estándares internacionales respecto de su capacidad para mantener la continuidad de sus servicios. Lo anterior, deberá observarse sin perjuicio del cumplimiento de lo previsto en el Capítulo V de las presentes Disposiciones.

CAPÍTULO IV DISPOSICIONES COMUNES DE SEGURIDAD DE INFORMACIÓN Y DE CONTINUIDAD OPERATIVA