{"schema_version":"public-retrieval-v1","release":{"id":"c305db4a3cfb408b76c13431e26beda72d5ce665046c95783fab36507354c969","corpus_commit":"d2ab64d61ecfe103cc2a2980c5d04ed63c20bb7a","fixture":false},"result":{"kind":"article","data":{"provision":{"id":"urn:lex-mx:federal:regulation:ifpe-dcg-2021:annex:6","instrument":{"slug":"ifpe-dcg-2021","id":"urn:lex-mx:federal:regulation:ifpe-dcg-2021","title":"Disposiciones aplicables a las instituciones de fondos de pago electrónico a que se refieren los artículos 48, segundo párrafo; 54, primer párrafo, y 56, primer y segundo párrafos de la Ley para Regular las Instituciones de Tecnología Financiera","short_name":"DCG-IFPE-2021"},"provision_type":"annex","number":"6","label":"ANEXO 6","text":"Características de Terceros Independientes\n\nA. Requisitos de independencia\n\nSe considerará que no existe independencia cuando el Tercero Independiente o la persona moral por medio de la cual preste sus servicios se ubiquen en alguno de los supuestos siguientes:\n\nI. El Tercero Independiente o la persona moral por medio de la cual preste sus servicios ejerza el Control sobre la institución de fondos de pago electrónico, o sea su subsidiaria, su asociada, una entidad con la que realiza acuerdos con control conjunto o una persona moral que pertenezca al mismo Grupo Empresarial o Consorcio que la institución de fondos de pago electrónico.\n\nLos ingresos que perciba el Tercero Independiente o la persona moral por medio de la cual preste sus servicios, provenientes de la institución de fondos de pago electrónico o, en su caso, de su controladora, subsidiarias, asociadas, entidades con las que realicen acuerdos con control conjunto o las personas morales que pertenezcan al mismo Grupo Empresarial o Consorcio derivados de la prestación de sus servicios, representen en su conjunto el 10% o más de los ingresos totales de dicha persona moral o Tercero Independiente durante el año inmediato anterior a aquel en que pretenda prestar el servicio.\n\nII. El Tercero Independiente o la persona moral por medio de la cual preste sus servicios, haya sido Cliente o proveedor importante de la institución de fondos de pago electrónico o, en su caso, de su controladora, subsidiarias, asociadas, entidades con las que realicen acuerdos con control conjunto o personas morales que pertenezcan al mismo Grupo Empresarial o Consorcio, durante el año inmediato anterior a aquel en que pretenda prestar el servicio.\n\nSe considera que un Cliente o proveedor es importante cuando sus ventas o compras a la institución de fondos de pago electrónico o, en su caso, a su controladora, subsidiarias, asociadas, entidades con las que realicen acuerdos con control conjunto o personas morales que pertenezcan al mismo Grupo Empresarial o Consorcio, representen en su conjunto el 10% o más de sus ventas totales o, en su caso, compras totales.\n\nIII. El Tercero Independiente o algún socio de la persona moral por medio de la cual preste sus servicios, sean o hayan sido durante el año inmediato anterior a su contratación, consejero, director general o empleado que ocupe un cargo dentro de los dos niveles inmediatos inferiores a este último en la institución de fondos de pago electrónico, en su controladora, subsidiarias, asociadas, entidades con las que realicen acuerdos con control conjunto o personas morales que pertenezcan al mismo Grupo Empresarial o Consorcio.\n\nIV. En caso de que el Tercero Independiente o algún socio de la persona moral por medio de la cual se presten los servicios, el cónyuge, concubina, concubinario o dependiente económico de las personas físicas anteriores, tengan inversiones en acciones o títulos de deuda emitidos por la institución de fondos de pago electrónico o, en su caso, por su controladora, subsidiarias, asociadas, entidades con las que realicen acuerdos con control conjunto o personas morales que pertenezcan al mismo Grupo Empresarial o Consorcio, tengan títulos de crédito que representen dichos valores o derivados que los tengan como subyacente, salvo que se trate de depósitos a plazo fijo, incluyendo certificados de depósito retirables en días preestablecidos, aceptaciones bancarias o pagarés con rendimiento liquidable al vencimiento siempre y cuando estos sean contratados en condiciones de mercado.\n\nLo previsto en esta fracción, no resultará aplicable a:\n\na) La tenencia en acciones representativas del capital social de fondos de inversión de renta variable y en instrumentos de deuda.\n\nb) La tenencia en acciones representativas del capital social de una sociedad anónima, inscritas en el Registro Nacional de Valores a cargo de la CNBV, a través de fideicomisos constituidos para ese único fin en los que no intervengan en las decisiones de inversión o bien en títulos referidos a índices o canastas de acciones o en títulos de crédito que representen acciones del capital social de dos o más sociedades anónimas emitidos al amparo de fideicomisos.\n\nV. El Tercero Independiente o algún socio de la persona moral por medio de la cual se presten los servicios, el cónyuge, concubina, concubinario o dependiente económico de las personas físicas anteriores, mantengan con la institución de fondos de pago electrónico o, en su caso, con su controladora, subsidiarias, asociadas, entidades con las que realicen acuerdos con control conjunto o personas morales que pertenezcan al mismo Grupo Empresarial o Consorcio, deudas por préstamos o créditos de cualquier naturaleza, salvo que se trate de adeudos por tarjeta de crédito, por financiamientos destinados a la compra de bienes de consumo duradero por créditos hipotecarios para adquisición de inmuebles y por créditos personales y de nómina, siempre y cuando sean otorgados en condiciones de mercado.\n\nVI. En caso de que, la controladora, subsidiarias, asociadas, entidades con las que realicen acuerdos con control conjunto o personas morales que pertenezcan al mismo Grupo Empresarial o Consorcio que la institución de fondos de pago electrónico, tengan inversiones en la persona moral en la cual preste sus servicios o sea socio el Tercero Independiente que realiza la auditoría.\n\nVII. En caso de que, el Tercero Independiente o la persona moral por medio de la cual se presten los servicios proporcione a la institución de fondos de pago electrónico, adicionalmente al de la evaluación de cumplimiento, cualquiera de los servicios siguientes:\n\na) Consultoría sobre la elaboración de los procesos, procedimientos, políticas y criterios, así como los sistemas con que la institución de fondos de pago electrónico deba contar para dar cumplimiento a los requisitos a que se refieren las presentes Disposiciones.\n\nb) Operación, directa o indirecta, de los sistemas de información financiera, o bien, administración de su red local.\n\nc) Supervisión, diseño o implementación de los sistemas informáticos (hardware y software) de la institución de fondos de pago electrónico, que lleven a cabo actividades para las operaciones que la referida institución realice.\n\nd) Supervisión, diseño o implementación de políticas y procedimientos para la seguridad de la información, uso de Canales de Instrucción o continuidad operativa.\n\ne) Provisión de servicios relacionados con seguridad de la información, uso de medios electrónicos o continuidad operativa.\n\nf) Administración de la institución de fondos de pago electrónico, temporal o permanente, participando en las decisiones.\n\ng) Auditoría interna relativa a la evaluación del nivel de cumplimiento de los requerimientos relativos a seguridad de la información, uso de Canales de Instrucción y continuidad operativa.\n\nh) Reclutamiento y selección de personal de la institución de fondos de pago electrónico para que ocupen cargos de director general o de los dos niveles inmediatos inferiores al de este último.\n\ni) Cualquier otro servicio que implique o pudiera implicar conflictos de interés respecto al trabajo de evaluación del cumplimiento que se realice.\n\nVIII. Los ingresos que el Tercero Independiente o la persona moral a través de la cual se preste el servicio, perciba o vaya a percibir por llevar a cabo la evaluación de cumplimiento de la institución de fondos de pago electrónico dependan del resultado de la propia evaluación o del éxito de cualquier operación realizada por dicha institución de fondos de pago electrónico que tenga como sustento la evaluación de cumplimiento.\n\nIX. El Tercero Independiente o la persona moral a través de la cual preste el servicio, tengan Cuentas por cobrar vencidas con la institución de fondos de pago electrónico por honorarios provenientes de algún servicio que ya se haya prestado a la institución de fondos de pago electrónico, a la fecha de emisión del informe de evaluación.\n\nB. Selección de la persona moral a través de la cual se prestarán servicios de evaluación del cumplimiento\n\nLa institución de fondos de pago electrónico deberá seleccionar a una persona moral a través de la cual el Tercero Independiente podrá prestar servicios de evaluación del cumplimiento a las normas contenidas en estas Disposiciones, que deberá cumplir con las características definidas en este anexo.\n\nEn caso de estimarlo conveniente, la institución de fondos de pago electrónico podrá seleccionar personas morales distintas para evaluar el cumplimiento de los requisitos relativos a la seguridad de la información, uso de Canales de Instrucción y a la continuidad operativa.\n\nEn caso de que, como resultado de la evaluación de los requisitos de seguridad informática y de continuidad operativa se identifique que uno o varios puntos se cumplen parcialmente o no se cumplen, cualquier futura evaluación y en tanto las observaciones no se solventen plenamente, deberá realizarse por la misma persona moral que realizó la primera evaluación.\n\nÚnicamente cuando por causas de fuerza mayor no le sea posible a la institución de fondos de pago electrónico seleccionar a la misma persona moral, esta podrá seleccionar a una persona moral distinta, para lo cual deberá justificar plenamente sus razones por escrito ante el Banco de México y la CNBV.\n\nC. Contrato de prestación de servicios suscrito entre la institución de fondos de pago electrónico y la persona moral a través de la cual se prestarán servicios de evaluación del cumplimiento\n\nLa institución de fondos de pago electrónico deberá establecer un contrato de prestación de servicios con la persona moral en el que definan los términos en los que esta última realizará la evaluación, así como el periodo que comprenderán las actividades. Dicho contrato deberá establecer los siguientes aspectos:\n\nI. Que los Terceros Independientes asignados al proyecto cumplan con las características señaladas en este Anexo, así como lo previsto en las presentes Disposiciones.\n\nII. Que la entrega de la información entre la institución de fondos de pago electrónico y la persona moral se realizará en los términos especificados en el presente Anexo.\n\nIII. Que la información proporcionada por la institución de fondos de pago electrónico, así como los resultados de la evaluación de cumplimiento, podrá ser requerida directamente a la persona moral por Banco de México o la CNBV.\n\nIV. Que la persona moral y los Terceros Independientes se comprometen a:\n\na) Mantener confidencialidad sobre las evidencias recabadas y sobre los resultados obtenidos de la evaluación a la institución de fondos de pago electrónico sobre el cumplimiento de los requisitos de seguridad informática y de continuidad operativa.\n\nb) Mantener confidencialidad sobre los requisitos de seguridad informática y de continuidad operativa.\n\nc) Resguardar la información que se produzca como parte de la evaluación en medios restringidos de acceso, que aseguren su integridad y confidencialidad.\n\nD. Evaluación de cumplimiento de los requisitos relativos a la seguridad de la información, Canales de Instrucción y continuidad operativa\n\nLa evaluación del cumplimiento comprende dos tipos de revisiones:\n\nI. Extra-situ.- Dictaminación de evidencias documentales que provean las instituciones de fondos de pago electrónico.\n\nII. In-situ.- Verificación del cumplimiento de los requisitos mediante visitas a las instalaciones de la institución de fondos de pago electrónico, basada en las evidencias provistas por esta.\n\nE. Características de la persona moral y Tercero Independiente a través de la cual se prestarán servicios de evaluación del cumplimiento\n\nLos Terceros Independientes deberán cumplir con las siguientes características:\n\nI. En materia de seguridad de la información:\n\na) Contar al menos con alguna de las siguientes certificaciones: CISSP (Certified Information System Security Professional), CISA (Certified Information Systems Auditor) o CISM (Certified Information Security Manager) o sus equivalentes o las que las sustituyan. El Banco de México y la CNBV podrán divulgar en su página de internet las certificaciones que sean equivalentes o las que sustituyan a las mencionadas en este inciso.\n\nb) Demostrar experiencia en consultoría en seguridad de la información en el sector financiero de por lo menos dos años.\n\nc) Haber participado en actividades o proyectos relacionados con seguridad de la información en los últimos veinticuatro meses.\n\nII. En materia de continuidad operativa:\n\na) Contar con al menos dos de las siguientes certificaciones: ISO 31000, ISO 22301, Basilea II y COSO II o sus equivalentes o las que las sustituyan. El Banco de México y la CNBV podrán divulgar en su página de internet las certificaciones que sean equivalentes o las que sustituyan a las mencionadas en este inciso.\n\nb) Demostrar experiencia en auditoría de gestión de continuidad de negocio en el sector financiero de, por lo menos, dos años.\n\nLa persona moral a través de la cual el Tercero Independiente podrá prestar servicios de evaluación del cumplimiento a las normas contenidas en estas Disposiciones, deberán reunir las siguientes características:\n\nI. No deberá estar inhabilitada para celebrar contrato alguno con la Administración Pública Federal, de servicios profesionales relacionados con tecnologías de la información, riesgo operacional, continuidad operativa y prevención de lavado de dinero.\n\nII. En materia de seguridad de la información, deberá cumplir con lo siguiente:\n\na) Experiencia en consultoría en seguridad de la información en el sector financiero de, por lo menos, cinco años cuando se trate de instituciones de fondos de pago electrónico consideradas como relevantes de conformidad con el artículo 49 de las presentes Disposiciones.\n\nTratándose de instituciones de fondos de pago electrónico que no se consideren dentro del supuesto antes mencionado, el tercero independiente deberá tener, al menos, dos años de experiencia en materia de seguridad de la información en el sector financiero o, al menos, tres años en dicha materia, pero no específicamente en el sector financiero.\n\nb) Perfil orientado a auditoría en seguridad de la información.\n\nIII. En materia de continuidad operativa, deberá cumplir con lo siguiente:\n\na) Experiencia en consultoría en gestión del riesgo en el sector financiero de, por lo menos, cinco años cuando se trate de instituciones de fondos de pago electrónico consideradas como relevantes de conformidad con el artículo 49 de las presentes Disposiciones.\n\nTratándose de instituciones de fondos de pago electrónico que no se consideren dentro del supuesto antes mencionado, el tercero independiente deberá tener, al menos, dos años de experiencia en materia de seguridad de la información en el sector financiero o al menos tres años en dicha materia pero no específicamente en el sector financiero.\n\nb) Perfil orientado a auditoría en continuidad de negocio.\n\nIV. Los Terceros Independientes que presten sus servicios a través de la mencionada persona moral, no deberán ser subcontratados.","text_sha256":"e30a56ea4a42b6a86ee17d945e6061ed825dd6c82dd0e827828f5b83346a6820","source":{"official_url":"https://www.cnbv.gob.mx/Anexos/ANEXO%206%20IFPES.pdf","publisher":"Comisión Nacional Bancaria y de Valores","retrieved_at":"2026-07-12T06:55:51.208088Z","source_sha256":"9d12f997bb551dc744fbfe39b08ec89aefa574976b00c46354246be9b50005e4","recorded_reform_date":null},"temporal_status":"unknown","review_status":"not_analyzed"}}}}