Source: http://docplayer.es/2838801-Normas-tecnicas-para-la-gestion-de-la-continuidad-del-negocio-version-para-comentarios-30-06-2015.html
Timestamp: 2018-03-21 13:37:06
Document Index: 219500054

Matched Legal Cases: ['artículo 2', 'artículo 35', 'artículo 63', 'artículo 41', 'artículo 155', 'artículo 63', 'artículo 3', 'artículo 7', 'artículo 99', 'artículo 99', 'artículo 2', 'artículo 9']

NORMAS TÉCNICAS PARA LA GESTIÓN DE LA CONTINUIDAD DEL NEGOCIO Versión para comentarios - PDF
NORMAS TÉCNICAS PARA LA GESTIÓN DE LA CONTINUIDAD DEL NEGOCIO Versión para comentarios
Download "NORMAS TÉCNICAS PARA LA GESTIÓN DE LA CONTINUIDAD DEL NEGOCIO Versión para comentarios 30-06-2015"
María Teresa Martínez Vázquez
1 El COMITÉ DE NORMAS DEL BANCO CENTRAL DE RESERVA DE EL SALVADOR, CONSIDERANDO: I. Que de conformidad al artículo 2, inciso segundo de la Ley de Supervisión y Regulación del Sistema Financiero, para el buen funcionamiento del Sistema de Supervisión y Regulación Financiera se requiere que los integrantes del sistema financiero y demás supervisados cumplan con las regulaciones vigentes y la adopción de los más altos estándares de conducta en el desarrollo de sus negocios, actos y operaciones, de conformidad a lo establecido en la referida Ley, en las demás leyes aplicables, en los reglamentos y en las normas técnicas que se dicten para tal efecto. II. III. IV. Que de conformidad al artículo 35, inciso primero y literal d) de la Ley de Supervisión y Regulación del Sistema Financiero, los directores, gerentes y demás funcionarios que ostenten cargos de dirección o de administración en los integrantes del sistema financiero, deben conducir sus negocios, actos y operaciones cumpliendo con los más altos estándares éticos de conducta y actuando con la diligencia debida de un buen comerciante en negocio propio, estando obligados a cumplir y a velar por que en la institución que dirigen o laboran se cumpla con la adopción y actualización de políticas y mecanismos para la gestión de riesgos, debiendo entre otras acciones, identificarlos, evaluarlos, mitigarlos y revelarlos acordes a las mejores prácticas internacionales. Que el artículo 63 de la Ley de Bancos y el artículo 41 de la Ley de Bancos Cooperativos y Sociedades de Ahorro y Crédito establecen que los bancos y los bancos cooperativos, respectivamente, deben elaborar e implantar políticas y sistemas de control que les permitan manejar adecuadamente sus riesgos financieros y operacionales. Que el artículo 155 de la Ley de Bancos Cooperativos y Sociedades de Ahorro y Crédito establece que éstas últimas se sujetarán a las disposiciones de la Ley de Bancos, salvo en lo dispuesto en el Libro IV de la Ley de Bancos Cooperativos y Sociedades de Ahorro y Crédito, por lo que les es aplicable lo establecido en el artículo 63 de la Ley de Bancos. V. Que de conformidad al artículo 3, inciso primero y literal i) de la Ley de Supervisión y Regulación del Sistema Financiero, la Superintendencia del Sistema Financiero es responsable de supervisar la actividad individual y consolidada de los integrantes del sistema financiero y demás personas, operaciones o entidades que mandan las leyes y para tales efectos, le compete requerir que las entidades e instituciones supervisadas sean gestionadas y controladas de acuerdo a las mejores prácticas internacionales referidas a la gestión de riesgos y de buen gobierno corporativo, según las normas técnicas que se emitan. VI. Que el artículo 7 de la Ley de Supervisión y Regulación del Sistema Financiero, establece las entidades que están sujetas a la supervisión de la Superintendencia del Sistema Financiero. 1/12
2 VII. Que de conformidad al artículo 99, literales a) y g) de la Ley de Supervisión y Regulación del Sistema Financiero, el Banco Central de Reserva de El Salvador es la institución responsable de la aprobación de normas técnicas relativas a la gestión de riesgos por parte de los supervisados, así como aquellas en las que se definan las condiciones mínimas que deben reunir físicamente los locales, sus medidas de seguridad, lo relativo a la conservación y archivo de documentación de los integrantes del sistema financiero. VIII. IX. Que los estándares internacionales sugieren, entre otras actividades de buenas prácticas, guías amplias en materia de continuidad de negocio, con la descripción de los métodos, técnicas y enfoques utilizados en todo el mundo para desarrollar, implementar y mantener un sistema eficaz de gestión de continuidad del negocio. Que es conveniente que las entidades gestionen adecuadamente los riesgos a los que están expuestos los diferentes procesos y actividades, de manera que garanticen la continuidad del negocio, velando por una gestión eficiente del riesgo operacional. POR TANTO, en virtud de las facultades normativas que le confiere el artículo 99 de la Ley de Supervisión y Regulación del Sistema Financiero, ACUERDA emitir las siguientes: NORMAS TÉCNICAS PARA LA GESTIÓN DE LA CONTINUIDAD DEL NEGOCIO CAPÍTULO I OBJETO, SUJETOS Y TÉRMINOS Objeto Art. 1.- Las presentes Normas tienen como objeto establecer las disposiciones mínimas que deben considerar las entidades para implementar un Sistema de Gestión de Continuidad del Negocio acorde con la naturaleza, tamaño, perfil de riesgo de las entidades y volumen de sus operaciones y, de esta forma, fortalecer su gestión de riesgos operacionales. Sujetos Art. 2.- Son sujetos de las presentes Normas las entidades siguientes: a) Los bancos constituidos en El Salvador, sus oficinas en el extranjero y sus subsidiarias; las sucursales y oficinas de bancos extranjeros establecidos en el país; b) Las sociedades que de conformidad con la ley, integran los conglomerados financieros, o que la Superintendencia del Sistema Financiero declare como tales, lo que incluye tanto a sus sociedades controladoras como a sus sociedades miembros; c) Las instituciones administradoras de fondos de pensiones; d) Las sociedades de seguros, sus sucursales en el extranjero y las sucursales de sociedades de seguros extranjeras establecidas en el país; 2/12
3 e) Las bolsas de valores, las casas de corredores de bolsa, las sociedades especializadas en el depósito y custodia de valores, las clasificadoras de riesgo, los agentes especializados en valuación de valores y los almacenes generales de depósito; f) Los bancos cooperativos, las sociedades de ahorro y crédito y las federaciones reguladas por la Ley de Bancos Cooperativos y Sociedades de Ahorro y Crédito; g) Las sociedades de garantía recíproca y sus reafianzadoras locales; h) Las sociedades que ofrecen servicios complementarios a los servicios financieros de los integrantes del sistema financiero, en particular aquellas en los que participen como inversionistas; i) Las sociedades administradoras u operadoras de sistemas de pagos y de liquidación de valores; j) El Fondo Social para la Vivienda y el Fondo Nacional de Vivienda Popular; k) El Instituto de Previsión Social de la Fuerza Armada; l) El Banco de Fomento Agropecuario, el Banco Hipotecario de El Salvador, S.A. y el Banco de Desarrollo de El Salvador; m) Las titularizadoras y los fondos que administran; n) Las bolsas de productos y servicios; y o) Gestoras de fondos de inversión y los fondos que administran. Términos Art. 3.- Para efectos de las presentes Normas, los términos que se indican a continuación tienen el significado siguiente: a) Alta Gerencia: El Presidente Ejecutivo, Gerente General o quien haga sus veces y los cargos ejecutivos que le reporten al mismo; b) Amenaza: La potencial ocurrencia de un evento no deseado, puede entenderse como un peligro que está latente pero que todavía no se ha concretado; c) Análisis de Impacto del Negocio (AIN): Proceso por el que se analizan las funciones del negocio y las consecuencias que generaría la ocurrencia de eventos no deseados. Se le conoce internacionalmente como Business Impact Analysis (BIA, por sus siglas en inglés); d) Banco Central: Banco Central de Reserva de El Salvador; e) Continuidad del Negocio: Es la capacidad de una entidad para seguir ofreciendo sus productos o servicios a niveles previamente definidos como aceptables después de un incidente de interrupción; f) Cultura Organizacional: Es el conjunto de actitudes, creencias, comportamientos, normas y valores aceptados y aplicados cotidianamente por los miembros de una entidad en la interacción entre sus miembros y en su interacción con el exterior; g) Entidad(es): Sujeto(s) obligado(s) al cumplimiento de las disposiciones de las presentes Normas, descrito(s) en el artículo 2 de las mismas; h) Evento: Un suceso o serie de sucesos que pueden ser internos o externos a la entidad, originados por la misma causa, que ocurren durante el mismo período de tiempo; 3/12
4 i) Evento no deseado: Evento que interrumpe, daña o altera los procesos o recursos de los productos y servicios que ofrece una entidad. Ejemplos: incidente de interrupción e incidente de seguridad de la información; j) Gestión de la Continuidad del Negocio: Proceso de gestión integral que identifica amenazas potenciales a una entidad y el impacto que podrían causar tales amenazas a las operaciones del negocio, en caso de materializarse. Este proceso provee un marco para construir la capacidad organizacional de sobreponerse a un evento disruptivo y ofrecer una respuesta efectiva, de tal manera de salvaguardar los objetivos corporativos, reputación, marca y actividades de creación de valor; k) Incidente de interrupción: Un evento que tiene la capacidad de generar una interrupción en los productos o servicios que ofrece una entidad, el cual, de no ser gestionado apropiadamente, puede ocasionar una emergencia, crisis o desastre. Se le conoce también como incidente disruptivo; l) Junta Directiva: Órgano colegiado encargado de la administración de la entidad, con funciones de supervisión y control. Para el caso de las Asociaciones Cooperativas será el Consejo de Administración; m) Máximo Período Tolerable de Disrupción (MPTD): Es el período después del cual la entidad es afectada de manera irreparable porque la entrega de productos y servicios no puede ser reanudada. Internacionalmente se le conoce como Maximum Tolerable Period of Disruption (MTPD, por sus siglas en inglés); n) Objetivo Mínimo de Continuidad de Negocio (OMCN): Es el mínimo nivel aceptable de productos o servicios que una entidad debe ofrecer para alcanzar sus objetivos durante un incidente de interrupción. Internacionalmente se le conoce como Minimum Business Continuity Objective (MBCO, por sus siglas en inglés); o) Partes interesadas: Personas u organizaciones que se ven impactadas por las operaciones de una entidad. Ejemplos: empleados, clientes, socios del negocio, proveedores, accionistas, instituciones gubernamentales, entre otros; p) Plan de Continuidad del Negocio (PCN): Procedimientos documentados que guían a las entidades para responder, recuperar y continuar con el negocio a un nivel de operación predefinido como aceptable, posterior a un incidente de interrupción; q) Proceso: Se refiere al conjunto de procedimientos, actividades y tareas organizadas, interrelacionadas y repetibles que producen un resultado esperado; r) Procesos de contingencia: Procedimientos documentados que guían a las entidades sobre cómo actuar ante eventos concretos. Se centran en la atención de riesgos operativos y fallas frecuentes; s) Punto Objetivo de Recuperación (POR): Representa la máxima pérdida de datos admisible para que continúe siendo factible reanudar una operación. Internacionalmente se le conoce como Recovery Point Objective (RPO, por sus siglas en inglés); y es expresado en unidades de tiempo de información perdida; t) Riesgo: La condición en que existe la posibilidad de que un evento ocurra e impacte negativamente los objetivos de la empresa; u) Riesgo operacional: La posibilidad de incurrir en pérdidas debido a fallas en los procesos, de las personas, en los sistemas de información y a causa de acontecimientos externos, incluye el riesgo legal; 4/12
5 v) Sistema de Gestión de la Continuidad del Negocio (SGCN): Es parte del sistema general de gestión que establece, implementa, opera, monitorea, revisa, mantiene y mejora la continuidad del negocio. Es decir, brinda un método formal para poner en marcha la Gestión de la Continuidad del Negocio y verificar que es efectivo y consistente con los niveles de continuidad definidos y la cultura organizacional. Se le conoce internacionalmente como Business Continuity Management System (BCMS, por sus siglas en inglés); w) Superintendencia: Superintendencia del Sistema Financiero; x) Tercerización de servicios: Se produce cuando la entidad encarga la realización de un proceso a un tercero, es decir, a una persona natural o jurídica distinta a la entidad; y y) Tiempo Objetivo de Recuperación (TOR): Es el tiempo establecido por la entidad para reanudar la entrega de un producto o servicio luego de un incidente de interrupción. También es conocido internacionalmente como Recovery Time Objective (RTO, por sus siglas en inglés). El TOR de cada producto, servicio, proceso o actividad es menor que el respectivo Máximo Periodo Tolerable de Disrupción (MPTD). CAPÍTULO II ROLES Y RESPONSABILIDADES GENERALES Gestión de la Continuidad del Negocio Art.4.- La Junta Directiva, la Alta Gerencia y el personal deben gestionar permanentemente la continuidad del negocio de las entidades. La gestión de la continuidad del negocio de las entidades debe ser adecuada a la naturaleza, tamaño y complejidad de las operaciones, productos y servicios que ofrecen. En tal sentido, las entidades deben contar con una estructura organizacional o funcional adecuada a su modelo de negocios y al tamaño y complejidad de sus operaciones, de tal forma que delimite claramente las funciones, roles y responsabilidades específicas asociadas a la continuidad del negocio, así como los niveles de dependencia e interrelación que corresponde con cada una de las demás áreas de la entidad. Asimismo, cuando el tamaño y complejidad de operaciones y servicios de la entidad lo amerite, la función de continuidad del negocio será desempeñada por una unidad o área especializada que reporte a la Unidad de Riesgos o quien haga sus veces. Responsabilidades de la Junta Directiva Art. 5.- La Junta Directiva será la responsable de establecer una adecuada gestión de la continuidad del negocio, por lo que debe realizar al menos lo siguiente: a) Aprobar una política de continuidad del negocio, la cual debe surgir de la adaptación de la definición de continuidad de negocio para la entidad. Para ello, debe definir el alcance, principios y guías que orientarán la gestión de la continuidad del negocio acordes con la naturaleza, tamaño, perfil de riesgo y volumen de operaciones de la entidad; b) Aprobar la estructura del Sistema de Gestión de Continuidad del Negocio; c) Fomentar el desarrollo de una cultura de continuidad, motivando la participación activa y el compromiso de todos los empleados; d) Aprobar los recursos necesarios para el adecuado desarrollo e implementación de la gestión de la continuidad del negocio acordes a los resultados del análisis de impacto de negocio, a fin de contar con la infraestructura, metodología y personal apropiados; 5/12
6 e) Aprobar el plan de continuidad del negocio; f) Asegurar que la entidad cuenta con una efectiva gestión de la continuidad del negocio; g) Autorizar la validación del plan de continuidad a la unidad que desempeñe la función de continuidad del negocio; y h) Promover la mejora continua en la gestión de continuidad del negocio de la institución. Responsabilidades de la Alta Gerencia Art. 6.- En cuanto a la gestión de la continuidad del negocio, la Alta Gerencia tendrá al menos la responsabilidad de las actividades siguientes: a) Implementar y apoyar la gestión de la continuidad del negocio conforme a las disposiciones de la Junta Directiva; b) Aprobar, como parte del Análisis de Impacto del Negocio, el Objetivo Mínimo de Continuidad de Negocio de la entidad; c) Promover la mejora continua del Sistema de Gestión de la Continuidad del Negocio y velar por su vigencia permanente; d) Aprobar el Tiempo Objetivo de Recuperación de cada producto y servicio crítico que brinda la entidad, proveniente de la estrategia de continuidad; y e) Aprobar la creación de los proyectos necesarios para implementar las estrategias y tácticas definidas. Responsabilidades del Comité de Riesgos Art. 7.- En materia de gestión de la continuidad del negocio, el Comité de Riesgos será el responsable al menos de lo siguiente: a) Revisar, evaluar y proponer a la Junta Directiva la política de continuidad del negocio para su aprobación; b) Proponer a la Junta Directiva la estructura del Sistema de Gestión de la Continuidad del Negocio; c) Revisar, evaluar y proponer a la Junta Directiva los planes de continuidad del negocio para su aprobación; d) Apoyar la labor de quien posea la función de continuidad de negocio en la implementación de la gestión de continuidad del negocio; y e) Efectuar el seguimiento de la gestión de continuidad del negocio. Para el caso que la estructura organizativa o el tamaño de la entidad no permita la creación de este Comité, las funciones correspondientes podrán ser desarrolladas por una unidad administrativa que la Junta Directiva designe, procurando cumplir con lo dispuesto en las presentes Normas y se garantice la objetividad, el adecuado manejo de conflictos de interés, independencia de criterio, confidencialidad y acceso a la información. En estos casos, la entidad será responsable de contar con las actas, informes y documentación de respaldo de los temas revisados y la Junta Directiva de la entidad mantendrá la responsabilidad sobre la ejecución de las funciones definidas en las presentes Normas. Responsabilidad de la Unidad de Riesgos Art. 8.- En materia de gestión de la continuidad del negocio, la Unidad de Riesgos debe llevar a cabo como mínimo lo siguiente: 6/12
7 a) Revisar y evaluar los elementos del Sistema de Gestión de Continuidad del Negocio; b) Asegurar que la gestión de la continuidad del negocio que realice la entidad sea consistente con las políticas y procedimientos aplicados para la gestión de riesgos y con la dirección estratégica; y c) Evaluar si existe la necesidad de constituir comités, unidades o áreas especializadas para el cumplimiento de las responsabilidades relacionadas con la gestión de la continuidad del negocio. De ser necesario, presentar su propuesta al Comité de Riesgos. Para el caso que la estructura organizativa o el tamaño de la entidad no permita la creación de esta unidad, las funciones correspondientes podrán ser desarrolladas por una unidad administrativa que la Junta Directiva designe, procurando cumplir con lo dispuesto en las presentes Normas y se garantice la objetividad, el adecuado manejo de conflictos de interés, independencia de criterio, confidencialidad y acceso a la información. En estos casos, la entidad será responsable de contar con las actas, informes y documentación de respaldo de los temas revisados y la Junta Directiva de la entidad mantendrá la responsabilidad sobre la ejecución de las funciones definidas en las presentes Normas. CAPÍTULO III DEL SISTEMA DE GESTIÓN DE LA CONTINUIDAD DEL NEGOCIO Sistema de Gestión de la Continuidad del Negocio (SGCN) Art. 9.- Las actividades mínimas que las entidades deben desarrollar para implementar un SGCN serán las siguientes: a) Establecer una política de continuidad del negocio; b) Definir responsabilidades de los participantes en la gestión de continuidad del negocio; c) Realizar un análisis de impacto del negocio y su respectiva evaluación de riesgos; d) Diseñar y seleccionar las estrategias y tácticas de continuidad del negocio; e) Desarrollar e implementar la estrategia de continuidad de negocio seleccionada; f) Elaborar planes de continuidad del negocio para los procesos que permitan la entrega de productos y servicios críticos que la entidad ofrece; g) Probar y actualizar los planes de continuidad del negocio; h) Integrar la gestión de la continuidad del negocio dentro de la cultura organizacional mediante un adecuado entrenamiento periódico, divulgación y concientización del personal; i) Definir una estrategia de gestión de crisis; j) Registrar los cambios significativos de las pruebas de planes de continuidad realizadas; y k) Efectuar revisiones periódicas del SGCN. Función de Continuidad del Negocio Art La función de continuidad del negocio comprenderá al menos los aspectos siguientes: a) Velar por una gestión de la continuidad del negocio competente, asegurándose de que se realicen las actividades mínimas del SGCN mencionadas en el artículo 9 de las presentes Normas; b) Coordinar entre las diversas áreas relevantes de la entidad, la ejecución de cada una de las etapas del SGCN; 7/12
8 c) Consolidar las estrategias y tácticas, entre otros elementos, de los diversos planes que conforman el plan de continuidad del negocio; d) Mantener informes sobre los aspectos relevantes de la gestión de la continuidad del negocio para una oportuna toma de decisiones; e) Elaborar y proponer al Comité de Riesgos o quien haga sus veces, el plan de continuidad del negocio para su revisión y evaluación; f) Elaborar y ejecutar planes de capacitación del personal para que éste conozca su rol a la hora de enfrentar un evento disruptivo; y g) Definir un responsable de informar a la Superintendencia de manera oportuna la activación del plan de continuidad, los resultados de las pruebas que hayan realizado sobre éste y la documentación que soporte todo lo anterior. Para el caso de las entidades que se conectan directamente con el sistema de Liquidación Bruta en Tiempo Real del Banco Central, la información mencionada en este literal también deberá ser remitida a éste último. Política de la Continuidad del Negocio Art La política de la continuidad del negocio debe adecuarse al propósito y a las necesidades de la entidad, estableciendo claramente lo que debe lograr en la gestión de la continuidad del negocio. La política de la continuidad del negocio debe ser concisa, clara y precisa, asimismo debe ser comunicada ampliamente a todo el personal de la entidad. La política de la continuidad del negocio incluirá al menos lo siguiente: a) Una definición de continuidad de negocio adaptada a la entidad y compatible con las presentes Normas; b) Los roles y responsabilidades específicos asociados con la gestión de la continuidad del negocio; c) Un conjunto de principios, guías y normas mínimas para la continuidad del negocio; y d) Un presupuesto definido, que incluya una evaluación de los recursos necesarios para la ejecución de los procedimientos de continuidad de la entidad. Incorporación de la Continuidad del Negocio en la Cultura Organizacional Art La entidad debe incorporar el concepto e importancia de la continuidad de negocio en la cultura organizacional, de tal manera que todo el personal labore permanentemente con un enfoque de continuidad del negocio; es decir, que reconozca a la continuidad del negocio como un objetivo prioritario y completamente alineado a la gestión estratégica y cotidiana de la entidad. Para asegurar que la continuidad del negocio está siendo incorporada en la cultura organizacional, la entidad deberá implementar, por lo menos, los aspectos siguientes: a) La Junta Directiva dará seguimiento a la continuidad del negocio cada vez que sesione; b) Desarrollar sesiones de concientización de la continuidad del negocio en las capacitaciones del personal o procesos de inducción; c) Los ejercicios o pruebas de continuidad del negocio se desarrollarán según lo programado y con los verdaderos recursos y procesos de contingencia, debiendo documentarse la realización de dichas pruebas o ejercicios; y 8/12
9 d) Se aplicará la política de continuidad del negocio antes del lanzamiento de un nuevo producto o servicio prioritario, o ante cambios significativos en su operatividad. Análisis de Impacto del Negocio Art Como base para la gestión de la continuidad del negocio, la entidad debe contar con un análisis de impacto del negocio o AIN. El AIN debe tomar en cuenta los productos y servicios que una entidad entrega; además debe identificar, cuantificar y calificar los impactos de incidentes de interrupción en términos financieros, reputacionales y de tiempo. Asimismo, el AIN deberá implicar la definición de plazos prioritarios para la reanudación de las actividades a un nivel aceptable mínimo especificado y señalar las dependencias y recursos de apoyo para estas actividades, incluyendo todas las partes interesadas involucradas respectivas. Análisis de amenazas y evaluación de riesgos Art Los análisis de impacto de negocio deben ser revisados y actualizados en la misma oportunidad en que se actualiza el plan estratégico de la entidad y cuando existan cambios relevantes en los procesos o infraestructura tecnológica y que puedan afectar significativamente cada actividad, proceso y productos o servicios prioritarios. La metodología de evaluación de las amenazas debe ser coherente con la metodología de evaluación de riesgos empleada por la entidad para los riesgos operacionales y puede ser aplicada con mayor frecuencia si existe un cambio significativo, interno o externo, a la entidad. Los análisis de amenazas deben considerar diversas fuentes, entre ellas las de índole geográfico, sociopolítico, pandémico, físico, ambiental y tecnológico. Además debe evaluar el impacto, por lo menos, en los siguientes ámbitos: finanzas, clientes, personal, cumplimiento regulatorio y opinión pública. El impacto total de una actividad, proceso, producto o servicio podrá ser cuantificado ponderando el impacto en cada uno de los ámbitos antes mencionados. El resultado del análisis de amenazas es una lista de las amenazas de procedencia interna o externa que pueden provocar una alteración de las actividades más urgentes de la entidad, con prioridad por nivel de impacto total. Sobre esta base se elaborarán escenarios de interrupción para los cuales se deberán diseñar estrategias concretas. Selección de la estrategia de continuidad Art La definición de las estrategias, tácticas de continuidad y recuperación que deben llevar a cabo todo el personal de la entidad requerirá de la aprobación de la Alta Gerencia. Las estrategias de continuidad deben tomar en cuenta al menos los aspectos siguientes: a) La seguridad del personal; b) Las habilidades y conocimientos asociados a cada proceso prioritario; c) Las instalaciones alternas de trabajo; d) Una infraestructura alterna de tecnología de información y comunicaciones; e) El equipamiento necesario; y f) La seguridad de la información. 9/12
10 Desarrollo e implementación de la estrategia de continuidad Art Para el desarrollo e implementación de la estrategia de continuidad, las entidades ejecutarán dichas estrategias y tácticas definidas, realizando al menos las actividades siguientes: a) Definir planes de continuidad de diverso nivel en los que se documenten las prioridades, procedimientos, responsabilidades, recursos implicados, entre otros, que permitan a la entidad manejar un incidente de interrupción; b) Definir un procedimiento claro y conocido por todo el personal de la entidad para la activación y desactivación de los planes, así como para el control de los procedimientos de respuesta de la entidad a los incidentes de interrupción; c) Actualizar constantemente al personal, conforme a sus roles y responsabilidades, para la aplicación de las estrategias y tácticas de continuidad establecidas y el desarrollo de sus operaciones cotidianas con los procedimientos alternativos, cuando sea el caso; d) Definir mecanismos que aseguren la capacidad de comunicarse de manera efectiva con las partes interesadas internas y externas a la entidad; e) Destinar los recursos suficientes para la implementación de las estrategias de continuidad aprobadas por la Junta Directiva durante la selección de la estrategia de continuidad; f) Evaluar, en el caso de entidades que pertenecen a conglomerados financieros, la necesidad de obtener el consenso de las empresas del grupo sobre la priorización de las actividades de recuperación, uso de instalaciones y recursos compartidos, entre otros, para la implementación de estrategias y tácticas de continuidad conjuntas; y g) Tener todo dispuesto para que los planes puedan ser activados en cualquier instante y sean ejecutados con eficiencia y efectividad. Validación del Plan de Continuidad del Negocio Art Las entidades deben confirmar que la gestión de la continuidad del negocio cumple con los objetivos fijados en la política de continuidad del negocio y que el plan de continuidad es idóneo para la entidad y las amenazas identificadas. La entidad no podrá argumentar la existencia de un plan de continuidad si éste no ha sido validado. La validación implica que la entidad debe ejecutar pruebas, por lo menos, anuales o cuando surja un cambio significativo en el plan de continuidad. Los tipos de pruebas que deben desarrollarse van desde las pruebas de escritorio, simulaciones, pruebas de funciones (parciales, controladas, temporales y no anunciadas) hasta pruebas completas de escenarios de interrupción que involucren la participación de agentes externos, principalmente de los proveedores de servicios críticos. Para una ejecución ordenada, la entidad establecerá un programa de pruebas. Para efectos que dichas pruebas se realicen en presencia de la Superintendencia, cuando esta así lo requiera, las entidades deberán informar con suficiente anticipación a la Superintendencia sobre el tipo y fecha de realización de las pruebas. En todos los casos, las pruebas deben tener objetivos definidos y producir un reporte resumen de los resultados alcanzados y las recomendaciones, detallando la fecha, hora de inicio y fin, responsables de las actividades, errores detectados y fallas en las pruebas. Esta información será básica para la actualización del plan de continuidad. 10/12
11 Las entidades deberán establecer un ciclo anual de pruebas, de tal forma que se hayan realizado todas las pruebas programadas. CAPÍTULO IV OTRAS DISPOSICIONES Y VIGENCIA Tercerización Art La tercerización o servicios provistos por terceros se enmarcarán dentro de la gestión de los riesgos operacionales, debiendo las entidades establecer políticas y procedimientos apropiados para evaluar, administrar y monitorear los servicios críticos brindados por terceros. Las entidades deben verificar que las empresas proveedoras de servicios mantengan los criterios de continuidad del negocio de la entidad en cumplimiento de las presentes Normas. En el contrato deberá constar todo lo que aplique conforme a las normas vigentes, entre ellos, que no exista restricción alguna por parte del proveedor para que la Superintendencia realice las evaluaciones que considere pertinente y el derecho a auditar al mismo en lo referente al servicio contratado. Adicionalmente, la entidad debe contar con la documentación que sustente la concientización, capacitación, plan de continuidad, pruebas desarrolladas y los resultados de las pruebas efectuadas en las empresas tercerizadoras o con la participación de ellas. Documentación de respaldo Art Las entidades deben mantener a disposición de la Superintendencia la documentación que permita sustentar el desarrollo de cada una de las etapas y actividades descritas en las presentes Normas. Los principales aspectos de la gestión de la continuidad del negocio, incluyendo el programa de pruebas de los planes de continuidad, serán reportados a la Superintendencia como parte del informe anual de la gestión de los riesgos operacionales. Cambios significativos Art Las entidades analizarán el impacto que tienen los cambios significativos sobre la continuidad del negocio. Los cambios significativos que se podrán considerar, entre otros, son: cambios de la infraestructura tecnológica que soportan los productos o servicios prioritarios, fusión con otra entidad, implementación de un nuevo producto, servicio o canal de servicio, cambio de un proveedor principal, cambio de oficina principal. Auditoría Interna Art La Unidad de Auditoría Interna evaluará el cumplimiento de lo dispuesto en las presentes Normas de acuerdo a su plan de trabajo. 11/12