SFC - Vigiladas. Requerimientos mínimos de seguridad. Calidad en realización de operaciones. Tercerización Concepto 2016056421-001 del 1 de junio id2016056421

VIGILADAS, REQUERIMIENTOS MÍNIMOS DE SEGURIDAD, CALIDAD EN REALIZACIÓN DE OPERACIONES, TERCERIZACIÓN Concepto 2016056421-001 del 1 de junio de 2016

Síntesis: Las entidades vigiladas que pretendan contratar bajo la modalidad de outsourcing o tercerización, con personas naturales o jurídicas, para la atención parcial o total de los distintos canales o de los dispositivos usados en ellos, o que en desarrollo de su actividad tengan acceso a información confidencial de la entidad o de sus clientes, deben cumplir como mínimo los requisitos señalados en el numeral 3.2 de la Circular Externa 042 de 2012; sin embargo, deberán exigir a los terceros el que cuenten con un plan de contingencia y continuidad del negocio. «(…) comunicación mediante la cual desea saber, si los terceros o outsoursing prestadores de servicios tecnológicos, deben dar cumplimiento a lo señalado en el numeral 3.2 de la Circular Externa 042 de 2012, incorporada en el Capítulo I, Título II, Parte I de la Circular Básica Jurídica C.E. 029 de 2014, o si por el contrario, deberán dar plena aplicación a todo el contenido de la citada Circular.

Sobre la materia objeto de consulta, cabe señalar que los llamados y responsables a cumplir con los requerimientos mínimos de seguridad y calidad en el manejo de información a través de medios y canales de distribución de productos y servicios, son las entidades sujetas a inspección y vigilancia por parte de esta Superintendencia, no terceros o personas ajenas al ámbito de supervisión nuestra. Cosa bien distinta es que, las entidades vigiladas que pretendan contratar bajo la modalidad de outsourcing o tercerización, con personas naturales o jurídicas, para la atención parcial o total de los

distintos canales o de los dispositivos usados en ellos, o que en desarrollo de su actividad tengan acceso a información confidencial de la entidad o de sus clientes, deben cumplir como mínimo los requisitos señalados en el numeral 3.2 ibídem; sin embargo, deberán exigir a los terceros el que cuenten con un plan de contingencia y continuidad del negocio. Al respecto resultan pertinentes los siguientes comentarios:

1. La Superintendencia Financiera de Colombia viene expidiendo normatividad en materia de riesgo operativo. Entre dichas normas se encuentran las Circulares Externas 041 de 2007 “Reglas Relativas a la Administración del Riesgo Operativo - SARO” y 042 de 2012 “Requerimientos Mínimos de Seguridad y Calidad para la Realización de Operaciones”, incorporadas en la Circular Básica Jurídica C.E. 029 de 2014.

Los requerimientos definidos en los mencionados instructivos deben ser cumplidos por las entidades vigiladas o por los terceros que prestan servicios a su nombre, algunos de ellos son: Circular Externa 041 de 2007. 3.1.3.1. “Administración de la continuidad del negocio De acuerdo con su estructura, tamaño, objeto social y actividades de apoyo, las entidades deben definir, implementar, probar y mantener un proceso para administrar la continuidad del negocio que incluya elementos como: prevención y atención de emergencias, administración de la crisis, planes de contingencia y capacidad de retorno a la operación normal. Los planes de continuidad del negocio deben cumplir, como mínimo, con los siguientes requisitos: a) Haber superado las pruebas necesarias para confirmar su eficacia y eficiencia. b) Ser conocidos por todos los interesados. c) Cubrir por lo menos los siguientes aspectos: identificación de los riesgos que pueden

afectar la operación, actividades a realizar cuando se presentan fallas, alternativas de operación y regreso a la actividad normal”. Circular Externa 042 de 2012. “3.2 Tercerización – Outsourcing 3.2.3 Exigir que los terceros contratados dispongan de planes de contingencia y continuidad debidamente documentados. Las entidades deberán verificar que los planes, en lo que corresponde a los servicios convenidos, funcionen en las condiciones pactadas”. Por lo anterior, las entidades vigiladas deben contar con un plan de contingencia y continuidad del negocio y deberán solicitarle a los terceros contratados que también los tengan. Las normas completas las puede consultar en el sitio Web de la Superintendencia Financiera, bajo los hipervínculos: https://www.superfinanciera.gov.co/jsp/loader.jsf?lServicio=Publicaciones&lTipo=publicaciones&lFunci on=loadContenidoPublicacion&id=20142 y https://www.superfinanciera.gov.co/jsp/loader.jsf?lServicio=Publicaciones&lTipo=publicaciones&lFunci on=loadContenidoPublicacion&id=20145

2. De otra parte, conviene precisar que la Superintendencia Financiera de Colombia no expide normas para que sean cumplidas por entidades que no estén bajo su vigilancia. Las vigiladas pueden contratar y delegar en terceros la ejecución de algunas actividades, no obstante, la responsabilidad siempre será de la entidad vigilada.

…).»