DCG-IFPE-2021 · ANEXO 2
Disposiciones aplicables a las instituciones de fondos de pago electrónico a que se refieren los artículos 48, segundo párrafo; 54, primer párrafo, y 56, primer y segundo párrafos de la Ley para Regular las Instituciones de Tecnología Financiera
Cita estable: urn:lex-mx:federal:regulation:ifpe-dcg-2021:annex:2. Publicación: c305db4a3cfb408b76c13431e26beda72d5ce665046c95783fab36507354c969.
Estado registrado: unknown; revisión: not_analyzed. No acredita vigencia.
Fuente: Comisión Nacional Bancaria y de Valores. Recuperada: 2026-07-12T06:55:46.366653Z. Reforma registrada en esa fuente: no disponible; no es una comprobación de actualidad.
SHA-256 fuente: b741cb02e8d890e609ccd45f357f07653383a29cae9118b2fa8e01f230e5ef1d. SHA-256 texto: bef416fb28c42922b0f6e9049682477cfd03a0604998e1d3f15d3928dc94fe7a.
Texto completo
Requerimientos mínimos para desarrollar el Plan de Continuidad de Negocio
Las instituciones de fondos de pago electrónico, previo al desarrollo del Plan de Continuidad de Negocio, deberán llevar a cabo los siguiente:
I. Un análisis de riesgo que:
a) Considere riesgos asociados a los siguientes factores: humanos (incluye fraude, integridad, capacitación), de procesos, tecnológicos y externos (incluyendo proveedores externos) conforme a la metodología a que se refiere el artículo 39 de estas Disposiciones.
b) Identifique, evalúe, monitoree y mitigue los riesgos relacionados con los procesos operativos y servicios de procesamiento y transmisión de datos contratados con proveedores, así como los relacionados con custodia y resguardo de información de la institución de fondos de pago electrónico y de sus Clientes.
c) Determine los riesgos derivados de la ubicación geográfica de los centros principales de procesamiento de datos y de operación de los procesos identificados como críticos conforme al análisis de impacto al negocio, para evitar que los centros de procesamiento de datos y de operación alternos estén expuestos en el mismo momento a los mismos riesgos que los principales.
d) Evalúe la necesidad de establecer sitios o servicios alternos de procesamiento de información, así como de operación los cuales, en su caso, deberán permitir operar en el momento que así se requiera, y no estar sujetos en el mismo momento a los mismos riesgos que el sitio primario.
II. Un análisis de impacto al negocio que:
a) Contenga la totalidad de los servicios y procesos, identificando aquellos que sean críticos y que se consideren indispensables para la continuidad de las operaciones, incluyendo los servicios contratados con sus proveedores de servicios.
b) Determine los recursos humanos, logísticos, materiales, de Infraestructura Tecnológica y de cualquier otra naturaleza mínimos necesarios para mantener y restablecer los servicios y procesos de la institución de fondos de pago electrónico ante la ocurrencia de una Contingencia Operativa, así como al término de esta.
c) Elabore escenarios relevantes relativos a las posibles Contingencias Operativas, considerando, entre otros, los siguientes:
1. Desastres naturales y ambientales.
2. Enfermedades infecciosas.
3. Ataques cibernéticos o a la actividad informática.
4. Sabotajes.
5. Terrorismo.
6. Interrupciones en el suministro de energía.
7. Fallas o indisponibilidad en la Infraestructura Tecnológica.
8. Indisponibilidad de recursos humanos, materiales o técnicos.
9. Interrupciones ocurridas en servicios prestados por terceros.
d) Estime los impactos cuantitativos y cualitativos de las Contingencias Operativas, con base en los escenarios definidos para cada proceso y a través de las metodologías a que se refiere el artículo 39 de estas Disposiciones.
e) Defina la prioridad de recuperación para cada uno de los procesos.
f) Determine el tiempo objetivo de recuperación (conocido como RTO, por sus siglas en inglés), para cada uno de los servicios y procesos. En el caso de los procesos considerados como críticos, el plazo de recuperación no deberá exceder de dos horas.
g) Establezca el punto objetivo de recuperación (conocido como RPO, por sus siglas en inglés), entendido como la máxima pérdida de datos tolerable para cada uno de los servicios y procesos, considerando que la información de aquellas operaciones ya efectuadas no pueda perderse en ningún escenario y que se conozca, de forma oportuna, el estado que tenía cada operación celebrada al momento en que se presentó la Contingencia Operativa.
h) Identifique y evalúe los riesgos relacionados con los procesos operativos y servicios de procesamiento y transmisión de datos contratados con proveedores, así como los riesgos relacionados con custodia y resguardo de información de la institución de fondos de pago electrónico.
III. El Plan de Continuidad de Negocio deberá señalar los procesos que tendrán prioridad en la recuperación cuando se presente una Contingencia Operativa, conforme al análisis de impacto a que alude la fracción II del presente anexo.
IV. En el desarrollo del Plan de Continuidad de Negocio se deberán incorporar, al menos, las siguientes acciones:
a) De prevención, que comprenderá, al menos, la determinación de las actividades y procedimientos relativos a:
1. La reducción de las vulnerabilidades en los procesos y servicios de la institución de fondos de pago electrónico ante Contingencias Operativas.
2. La disposición de los recursos humanos, financieros, materiales, técnicos y de Infraestructura Tecnológica necesarios para actuar de manera oportuna ante una Contingencia Operativa.
3. El establecimiento de un programa anual de pruebas, o bien, antes si ocurre un cambio significativo en la Infraestructura Tecnológica, procesos, productos y servicios, u organización interna de la institución, respecto del funcionamiento y suficiencia del Plan de Continuidad de Negocio que evalúe todas sus etapas y componentes.
4. Las políticas y procedimientos de capacitación al personal involucrado, tanto en los procesos, como en el desarrollo del propio plan.
5. Procedimientos de registro, atención, seguimiento y difusión al personal cuyas funciones se vean afectadas por la Contingencia Operativa o estén relacionadas con la ejecución del Plan de Continuidad de Negocio, de los hallazgos, incidencias u observaciones resultantes de las pruebas sobre el funcionamiento y suficiencia de dicho plan, o bien, de la ejecución del mismo en caso de haberse presentado una Contingencia Operativa.
b) De contingencia, que comprenderá la definición de las acciones y procedimientos de respuesta autorizados para:
1. Identificar oportunamente la naturaleza de las Contingencias Operativas que afecten los procesos críticos de la institución de fondos de pago electrónico.
2. Contener los efectos de Contingencias Operativas sobre los procesos críticos y favorecer el restablecimiento de la operación a los niveles de funcionamiento requeridos.
3. Hacer del conocimiento del Banco de México y la CNBV, las Contingencias Operativas, conforme a lo señalado en el artículo 43 de estas Disposiciones.
c) De recuperación, que comprenderá la definición de las acciones y procedimientos a seguir para que los servicios y procesos de las instituciones de fondos de pago electrónico, ante la materialización de Contingencias Operativas, puedan continuar su operación en un nivel mínimo aceptable, incluyendo mecanismos de actualización y conciliación de la información, así como los mecanismos para recuperación en caso actualizar lo dispuesto en la fracción VII del artículo 49 de las presentes Disposiciones.
d) De restauración, que comprenderá la definición de las acciones y procedimientos para que los servicios y procesos de las instituciones de fondos de pago electrónico vuelvan a su operación normal después de la ejecución de las acciones de recuperación por la ocurrencia de alguna Contingencia Operativa.
e) De evaluación, que comprenderá lo relativo a la recopilación y análisis de la información relevante sobre el desarrollo de la Contingencia Operativa, y de las acciones y procedimientos seguidos para su prevención, contención, recuperación y restauración a fin de, en su caso, efectuar los ajustes necesarios al Plan de Continuidad de Negocio.
Las instituciones de fondos de pago electrónico, al definir las diferentes acciones y procedimientos a que hace referencia la presente fracción deberán, en todo momento, determinar de manera precisa al personal responsable, así como prever lo relativo a su suplencia o sustitución en caso de que los titulares no se encuentren presentes o disponibles para llevar a cabo lo que el Plan de Continuidad de Negocio establezca.