RESOLUCION que modifica las Disposiciones de carácter general aplicables a las instituciones de crédito.

Viernes 16 de octubre de 2009

 

Al margen un sello con el Escudo Nacional, que dice: Estados Unidos Mexicanos.- Secretaría de Hacienda y Crédito Público.- Comisión Nacional Bancaria y de Valores.

La Comisión Nacional Bancaria y de Valores, previo acuerdo de su Junta de Gobierno, con fundamento en lo dispuesto por los Artículos 46 Bis 1, 46 Bis 2, 52, 92, y 97 de la Ley de Instituciones de Crédito, así como 4, fracciones I, II, y XXXVI, 6 y 12, fracción XV, de la Ley de la Comisión Nacional Bancaria y de Valores, y

CONSIDERANDO

Que como resultado de la propagación de la crisis financiera internacional y, de acuerdo con la información con la que esta Comisión cuenta, existen datos que evidencian que los riesgos a los que las instituciones de crédito se enfrentan actualmente son de liquidez y no de solvencia;

Que el riesgo de liquidez se presenta fundamentalmente en instituciones de crédito que tienen una captación en ventanilla baja, por lo que dependen de manera significativa de las mesas de dinero y del crédito interbancario para obtener fondeo;

Que aunado a lo anterior y a efecto de ampliar las opciones de inversión del público en general, resulta pertinente modificar la regulación aplicable a las instituciones de crédito en materia de contratación con terceros de servicios o comisiones, para permitir que estas últimas, a través de las casas de bolsa que actúen frente al público como sus comisionistas, puedan ofrecer instrumentos de inversión que cuenten con la protección del seguro de depósito del Instituto para la Protección al Ahorro Bancario;

Que como consecuencia de lo anterior, las instituciones de crédito dispondrían de canales adicionales de financiamiento, a través de la aceptación de préstamos documentados en pagarés o bien, mediante la recepción de depósitos documentados en certificados de depósito, que las propias instituciones colocarían entre el público a través de las señaladas casas de bolsa, lo cual podría coadyuvar a enfrentar los requerimientos de liquidez que, en su caso, presenten las instituciones bancarias;

Que en tal virtud, se estima necesario incluir en la regulación correspondiente las obligaciones a cargo de las instituciones de crédito que celebrarán las operaciones en los términos descritos, tendientes a otorgar una mayor transparencia y seguridad jurídica a los clientes bancarios, a fin de separar de manera indubitable las operaciones propiamente bancarias de las celebradas por el propio cliente con la casa de bolsa
comisionista, y

Que con motivo de los procesos de autorización de comisionistas bancarios, esta Comisión ha observado que resulta indispensable ajustar algunos aspectos, tales como los relativos a las obligaciones a cargo de las instituciones de crédito de celebrar un contrato de depósito con sus comisionistas y de transferir en línea de los recursos a, o de las cuentas de los clientes bancarios para el pago de créditos, así como los correspondientes a los requerimientos técnicos de los medios electrónicos que utilicen las instituciones de crédito, a efecto de permitir la adecuada implementación del esquema de comisionistas bancarios, sin que para ello se afecten los intereses del público usuario, ha resuelto expedir la siguiente:

RESOLUCION QUE MODIFICA LAS DISPOSICIONES DE CARACTER GENERAL
APLICABLES A LAS INSTITUCIONES DE CREDITO

UNICA.- Se ADICIONAN la fracción XXXVI al Artículo 1, recorriéndose la numeración de las fracciones de dicho artículo, cada una en su orden y según corresponda; un penúltimo y un último párrafos a la fracción III del Artículo 318; una fracción IX y un último párrafo al Artículo 319; un último párrafo a la fracción III del Artículo 320; un penúltimo y un último párrafo a la fracción I del Artículo 322, y una fracción X al Artículo 324, así como los Anexos 60 y 61; se REFORMAN el segundo párrafo de la fracción I del Artículo 318, el primer párrafo y las fracciones VI y VIII del Artículo 320; el segundo párrafo de la fracción I del Artículo 322, y la fracción I del Artículo 325, y se SUSTITUYEN los Anexos 52 y 58 de las “Disposiciones de carácter general aplicables a las instituciones de crédito” publicadas en el Diario Oficial de la Federación el 2 de diciembre de 2005 y modificadas mediante resoluciones publicadas en el propio Diario los días 3 y 28 de marzo, 15 de septiembre, 6 y 8 de diciembre de 2006, 12 de enero, 23 de marzo, 26 de abril, 5 de noviembre de 2007, 10 de marzo, 22 de agosto, 19 de septiembre, 14 de octubre, 4 de diciembre de 2008, 27 de abril, 28 de mayo, 11 de junio y 12 de agosto de 2009, para quedar como sigue:

“Listado de Anexos

Anexos 1 a 56

Anexo 60        Modelo de comunicación mediante la cual los clientes manifiestan estar enterados de que la inversión efectuada en los títulos bancarios (certificados o constancias de depósito a plazo o pagarés con rendimiento liquidable al vencimiento), se considerará como obligación garantizada, en términos de lo previsto en la Ley de Protección al Ahorro Bancario y la Ley de Instituciones de Crédito.

Anexo 61        Texto informativo para las operaciones referidas en la fracción IX del artículo 319.

“Artículo 1.-

I. a XXXV. …

XXXVI.            Información Sensible del Usuario: a la información personal del Usuario que contenga nombres, domicilios, teléfonos o direcciones de correo electrónico, en conjunto con números de tarjetas bancarias, números de cuenta, límites de crédito, saldos, Identificadores de Usuarios o información de Autenticación.

XXXVII. a LXXIX. …

“Artículo 318.-…

I.      

Asimismo, en ningún caso, dichos comisionistas podrán llevar a cabo aprobaciones y aperturas de cuentas de operaciones activas, pasivas y de servicios, salvo que se trate de las operaciones a que se refiere la fracción IX del Artículo 319 siguiente.

II.      

III.      a) a e) …

         

          Tratándose de las operaciones a que se refiere la fracción IX del Artículo 319 de las presentes disposiciones, la Comisión de conformidad con lo previsto por las “Disposiciones de carácter general a que se refiere el Artículo 115 de la Ley de Instituciones de Crédito” emitidas por la Secretaría, o las que las sustituyan, podrá en cualquier momento, efectuar requerimientos de información, así como verificar que los comisionistas cuenten con la información necesaria a fin de dar cumplimiento a lo previsto en esas mismas disposiciones.

          Aunado a lo anterior, en caso de operaciones celebradas con instituciones de banca múltiple comitentes, la Comisión, sin perjuicio de las facultades que en materia de supervisión y vigilancia ejerza sobre las casas de bolsa en términos de lo dispuesto por la Ley del Mercado de Valores, podrá a solicitud del IPAB, realizar visitas de inspección a las casas de bolsa que actúen como comisionistas, a fin de verificar y evaluar que estas últimas clasifiquen en sistemas automatizados de procesamiento y conservación de datos, así como en cualesquiera otros procedimientos técnicos, la información a que se refiere el inciso i) del numeral 2 del inciso b) de la fracción X del Artículo 324 siguiente. En este último caso, la Comisión actuará ajustándose a lo dispuesto por el Artículo 134 Bis 3 de la Ley.

IV. a VII. …

Artículo 319.-

I. a VIII.

IX.     Aceptación de préstamos documentados en pagarés con rendimiento liquidable al vencimiento, así como recepción de depósitos a plazo fijo documentados en certificados de depósito o constancias de depósito a cargo de las propias Instituciones y, en su caso, la liquidación de dichas operaciones. Los títulos con los que se documenten las mencionadas operaciones, deberán tener las características siguientes:

a)    Serán nominativos y no negociables.

b)    Tendrán un vencimiento no menor a noventa días.

c)     En su caso, deberán indicar si son renovables al vencimiento.

          Las Instituciones podrán celebrar contratos de comisión mercantil para realizar las operaciones a que se refiere la presente fracción, solo con casas de bolsa que conforme a su régimen autorizado puedan ser comisionistas de instituciones de crédito y que cuenten con el capital mínimo que para realizar dichas operaciones determine la Comisión.

          La liquidación de las operaciones a que se refiere la presente fracción, podrá realizarse en la oficina adicional de la casa de bolsa comisionista que hubiese efectuado la colocación de los referidos instrumentos, o bien, en la oficina de la Institución que en cada caso se pacte. Si la liquidación se realiza con la casa de bolsa, el cliente deberá utilizar su firma autógrafa en el acuse de recibo respectivo.

...

...

...

Las operaciones a que se refiere la fracción IX de este artículo, únicamente podrán realizarse por Instituciones cuyo Indice de Capitalización sea al menos del 12 por ciento. Para estos efectos, dichas Instituciones no estarán obligadas a observar lo dispuesto en los Anexos 57 y 58 de estas disposiciones.

Artículo 320.- Las Instituciones requerirán de la autorización de la Comisión para celebrar comisiones mercantiles que tengan por objeto llevar a cabo las operaciones a que se refieren las fracciones I y III a IX del Artículo 319 anterior. Tratándose de instituciones de banca de desarrollo, la referida autorización se solicitará una vez obtenida la excepción a que se refiere el Artículo 47 de la Ley.

...

I. y II.

III.    

          Tratándose de las operaciones a que se refiere la fracción IX del Artículo 319 de las presentes disposiciones, las Instituciones deberán acreditar que sus sistemas, así como los de las casas de bolsa con las que pretendan celebrar comisiones mercantiles, cuentan con los requerimientos técnicos necesarios que les permita a las propias instituciones de banca múltiple dar cumplimiento con lo dispuesto en el artículo 134 Bis 3 de la Ley, así como para recibir y transmitir la información a que se refieren las “Reglas de carácter general a las que deberán sujetarse las instituciones de banca múltiple para clasificar la información relativa a operaciones relacionadas con obligaciones garantizadas a que se refiere la Ley de Protección al Ahorro Bancario”, emitidas por el IPAB, o las que las sustituyan, incluyendo lo señalado en los incisos i) y ii) del numeral 2 del inciso b) de la fracción X del artículo 324 siguiente. Asimismo, las Instituciones deberán acreditar que tanto ellas como las casas de bolsa comisionistas cuentan con los sistemas necesarios para dar cumplimiento a las “Disposiciones de carácter general a que se refiere el artículo 115 de la Ley de Instituciones de Crédito” emitidas por la Secretaría, en los términos de lo que para tal efecto prevean las disposiciones antes citadas.

IV. a V.

VI.     Las políticas y procedimientos que implementaría la Institución, para la administración de los Factores de Autenticación de clientes y operadores que prevengan el uso indebido de los Factores de Autenticación por parte de sus comisionistas o los empleados de estos últimos. Dichas políticas y procedimientos deberán contemplar un programa de capacitación permanente de los comisionistas, así como las medidas y controles necesarios para asegurar la integridad de los Factores de Autenticación de los clientes bancarios y operadores.

VII.   

VIII.   Las características de los terceros con los que la Institución contrataría comisiones mercantiles al amparo de la presente sección, así como la indicación de los volúmenes de operación estimados, salvo que se trate de las operaciones a que se refiere la fracción IX del Artículo 319 anterior.

IX. y X. …

 

“Artículo 322.-

I.       ...

          En todo caso, la cuenta de depósito a la vista deberá ser cargada o abonada, en función de la naturaleza de la transacción que el comisionista celebre con el cliente bancario y con el público en general, transfiriendo en línea los recursos a, o de la cuenta de este último o bien a las cuentas propias de la Institución, según sea el caso, para los efectos solicitados.

...

...

          La Comisión podrá exceptuar a las Instituciones de celebrar el contrato de depósito a que se refiere la presente fracción, para lo cual las Instituciones deberán someter a la autorización de la Comisión el procedimiento que emplearían para la liquidación neta que corresponda a la realización de las operaciones con sus comisionistas, siempre y cuando dicho procedimiento permita la transferencia en línea de los recursos a, o de las cuentas de los clientes bancarios, según sea el caso.

          Tratándose de las operaciones a que se refiere la fracción IV del Artículo 319 de las presentes Disposiciones, las operaciones podrán realizarse sin que para ello deban transferirse en línea los recursos, siempre y cuando la Institución de que se trate, a través de su comisionista, señale en el respectivo comprobante de operación, la fecha o el plazo en que quedará acreditado el pago efectuado. Dicho comprobante de operación tendrá valor probatorio para fines de cualquier aclaración y deberá ser reconocido en esos términos por parte de las Instituciones que los emitan.

II. a VI. …

“Artículo 324.-

I. a IX. …

X.      Tratándose de las operaciones a que se refiere la fracción IX del Artículo 319 de las presentes disposiciones, lo siguiente:

a)    Los procedimientos a través de los cuales la Institución autorizará a las casas de bolsa para realizar tales operaciones.

b)    La obligación de la casa de bolsa comisionista para:

1.     Recabar del cliente la información necesaria a fin de dar cumplimiento a lo previsto en el Artículo 115 de la Ley y las disposiciones que de dicho precepto emanen.

        Para ello, las casas de bolsa deberán transmitir en tiempo y forma a la Institución la información relativa a las mencionadas operaciones, a fin de que la propia Institución de cumplimiento al citado Artículo 115 de la Ley y las disposiciones que emanen del mismo.

2.     Tratándose de operaciones celebradas con instituciones de banca múltiple comitentes:

i.      Recabar y clasificar en sistemas automatizados de procesamiento y conservación de datos, así como en cualesquier otro procedimiento técnico, toda la información que le permita a la institución de banca múltiple dar cumplimiento a la Tercera de las “Reglas de carácter general a las que deberán sujetarse las instituciones de banca múltiple para clasificar la información relativa a operaciones relacionadas con obligaciones garantizadas a que se refiere la Ley de Protección al Ahorro Bancario”, emitidas por el IPAB, o las que las sustituyan;

ii.     Transmitir a la institución de banca múltiple comitente, simultáneamente al momento de la celebración de cada operación, a través de sus sistemas, la información que de conformidad con las Reglas referidas en el numeral anterior, esta última deba mantener. Lo anterior, sin perjuicio de que los contratos a que se refiere el presente artículo deberán contener la obligación a cargo de las casas de bolsa que actúen como comisionistas, de transmitir a las instituciones de banca múltiple comitentes, toda la información referida en la Tercera de las Reglas mencionadas en el numeral i. anterior, cuando así les sea requerido por la Comisión, directamente o a petición del IPAB, siempre que se actualicen los supuestos correspondientes a la resolución de la institución de banca múltiple comitente en términos del Artículo 122 Bis de la Ley;

iii.    Obtener del cliente al momento de celebrar las operaciones, una manifestación por escrito o por cualquier medio que se pacte con el cliente bancario, en los términos del formato contenido como Anexo 60 de las presentes disposiciones, y

iv.    Entregar al cliente, en el reverso del documento a que se refiere el numeral iii. anterior o por cualquier medio que se pacte con el cliente bancario, un texto informativo en los términos establecidos en el Anexo 61 de las presentes disposiciones.

3.     Los términos bajo los cuales deberá efectuarse la liquidación de las operaciones.

En caso de que la liquidación de las operaciones respectivas se lleve a cabo en las oficinas adicionales de las casas de bolsa, entregar al cliente el importe respectivo en la forma en que se pacte al momento de la contratación. En todo caso, si el cliente no solicita a la oficina adicional la referida liquidación en un plazo de tres días hábiles contados a partir de la fecha de vencimiento de la operación, la casa de bolsa quedará liberada de la obligación de realizar el pago correspondiente a favor del cliente, por lo que la liquidación deberá efectuarse directamente con la Institución.

c)     La obligación por parte de la Institución de proveer los medios necesarios a fin de dar cumplimiento a las disposiciones a que se refieren los numerales 1 y 2 anteriores, y, en general, a lo establecido por las disposiciones relativas al sistema de protección al ahorro bancario, así como de asegurarse de que el comisionista efectivamente cumple lo anterior.

Artículo 325.-

I.       Entidades financieras, con excepción de:

a)    Aquellas que dentro de las operaciones que tengan autorizadas llevar a cabo de conformidad con la normatividad aplicable, se encuentre el poder recibir mandatos o comisiones, así como que tengan permitido realizar las operaciones objeto del mandato o comisión de que se trate, incluidas otras Instituciones y entidades de ahorro y crédito popular, y

b)    Casas de bolsa, tratándose de las operaciones a que se refiere la fracción IX del Artículo 319 de las presentes disposiciones.

II. y III. …

TRANSITORIO

UNICO.- La presente resolución entrará en vigor el día siguiente al de su publicación en el Diario Oficial de la Federación.

Atentamente

México, D.F., a 8 de octubre de 2009.- El Presidente de la Comisión Nacional Bancaria y de Valores, Guillermo Enrique Babatz Torres.- Rúbrica.

ANEXO 52

LINEAMIENTOS MINIMOS DE OPERACION Y SEGURIDAD PARA
LA CONTRATACION DE SERVICIOS DE APOYO TECNOLOGICO

Las Instituciones deberán considerar los aspectos siguientes:

I.-      Aspectos en materia de operación.

a.     Esquemas de redundancia o mecanismos alternos en las telecomunicaciones de punto a punto que permitan contar con enlaces de comunicación que minimicen el riesgo de interrupción en el servicio de telecomunicaciones.

b.     Estrategia de continuidad en los servicios informáticos que proporcionen a la Institución la capacidad de procesar y operar los sistemas en caso de contingencia, fallas o interrupciones en las telecomunicaciones o de los equipos de cómputo centrales y otros que estén involucrados en el servicio de procesamiento de información de operaciones o servicios.

c.     Mecanismos para establecer y vigilar la calidad en los servicios de información, así como los tiempos de respuesta de los sistemas y aplicaciones.

d.     Esquema de soporte técnico, a fin de solucionar problemas e incidencias, con independencia, en su caso, de las diferencias en husos horarios y días hábiles.

II.-     Aspectos en materia de seguridad.

a.     Medidas para asegurar la transmisión de la Información Sensible del Usuario en forma cifrada punto a punto y elementos o controles de seguridad en cada uno de los nodos involucrados en el envío y recepción de datos.

b.     Establecimiento de funciones del oficial de seguridad. Para efectos de que la Institución contratante se mantenga enterada del acceso y uso de la información, deberá designar a una persona que se desempeñe como oficial de seguridad en la Institución, quien gozará de independencia respecto de las áreas operativas, de auditoría y de sistemas, y cuya función consistirá, entre otras cosas, en administrar y autorizar los accesos. Dichos accesos deberán corresponder a la necesidad de conocer la información de acuerdo a las funciones documentadas del puesto.

        Asimismo, el oficial de seguridad deberá contar en todo momento con los registros de todo el personal que tenga acceso a la información relacionada con las operaciones de la Institución, incluso de aquél ubicado fuera del territorio nacional, en cuyo caso el personal autorizado para acceder a dicha información deberá ser autorizado por el responsable de las funciones de contraloría interna señaladas en la fracción V del Artículo 166 de las presentes disposiciones.

c.     Esquema mediante el cual se mantendrá en una oficina de la institución de crédito contratante, la bitácora de acceso a la información por el personal debidamente autorizado.

III.-    Auditoría y Supervisión.

a.     Políticas y procedimientos relativos a la realización de auditorías internas o externas sobre la infraestructura, controles y operación del centro de cómputo del tercero, relacionado con el ambiente de producción para la institución de crédito, al menos una vez cada dos años con el fin de evaluar el cumplimiento de lo mencionado en el presente anexo.

b.     Mecanismos de acceso al ambiente tecnológico, incluyendo información, bases de datos y configuraciones de seguridad, desde las instalaciones de la Institución en territorio nacional.

ANEXO 58

REQUERIMIENTOS TECNICOS PARA LA OPERACION DE MEDIOS ELECTRONICOS PARA LAS OPERACIONES CONTEMPLADAS EN LA SECCION SEGUNDA DEL CAPITULO XI DEL TITULO QUINTO

Los Medios Electrónicos que utilicen las Instituciones para garantizar la correcta ejecución de las operaciones bancarias y de seguridad de la información de los clientes bancarios y del público en general, deberán cumplir con los requerimientos a que se refiere el presente anexo.

I.       Definiciones.

          Para efectos del presente anexo, en adición a las definiciones señaladas en el Artículo 1 de las presentes disposiciones, se entenderá por:

1.     Identificador Individual: La cadena de caracteres asignada a cada Operador en lo individual.

2.     Operador: El empleado del comisionista Usuario que tenga acceso a los Medios Electrónicos.

II.      Requerimientos de los Medios Electrónicos.

1.     Mecanismos necesarios para realizar las transacciones en línea.

        Los Medios Electrónicos deberán contar con los mecanismos necesarios para realizar las transacciones en línea, es decir, al instante mismo en que se lleve a cabo la operación, actualizando los saldos del cliente en línea salvo tratándose de las operaciones referidas en el Artículo 319, fracción IV, de las disposiciones.

        Para tales efectos, las operaciones de pago de servicios en efectivo o con tarjeta de débito, o prepagadas o con cargo a Cuentas Móviles, depósito de efectivo, pago de créditos en efectivo, situación de fondos y colocación de tarjetas prepagadas o de Cuentas Móviles; deberán registrarse como un cargo a la cuenta de depósito que el comisionista tenga con la Institución. Por su parte, las operaciones de retiro de efectivo y pago de cheques deberán registrarse como un abono a la misma cuenta.

2.     Validación de Medios Electrónicos del comisionista.

        Unicamente los Medios Electrónicos de los comisionistas autorizados por la Institución tendrán acceso a la infraestructura dispuesta por aquélla.

        Los sistemas informáticos de la Institución deberán autenticar a los Medios Electrónicos que los comisionistas utilicen para realizar operaciones bancarias.

3.     Certificación de Medios Electrónicos del comisionista.

        La Institución será responsable de certificar la instalación y el uso de los Medios Electrónicos que el comisionista mantenga para la realización de las operaciones bancarias, así como de establecer mecanismos periódicos de evaluación de dichos Medios Electrónicos.

        Asimismo, la Institución deberá cerciorarse en todo momento que los medios electrónicos utilizados por los comisionistas mantienen mecanismos de control que eviten la lectura y extracción de la información de los clientes por terceros no autorizados.

4.     Políticas y procedimientos para la administración de accesos y configuración de Medios Electrónicos.

        La Institución deberá contar con políticas y procedimientos para la:

a)    Administración de los accesos y perfiles de los empleados de los comisionistas a sus sistemas informáticos.

b)    Capacitación a los comisionistas en el uso de los Medios Electrónicos. Dicha capacitación deberá incluir aspectos relacionados con la protección de la información de los clientes bancarios.

c)     Configuración de los Medios Electrónicos que se conecten a sus sistemas informáticos.

d)    Administración de llaves criptográficas utilizadas entre los comisionistas y sus sistemas.

5.     Transmisión de datos Cifrada.

        Las Instituciones deberán cifrar el mensaje o utilizar medios de comunicación Cifrada para la transmisión de la Información Sensible del Usuario, desde el punto de originación de la operación hasta los sistemas centrales de la Institución, para llevar a cabo consultas, Operaciones Monetarias y cualquier otro tipo de transacción bancaria, entre la Institución y sus clientes utilizando los Medios Electrónicos de los comisionistas.

6.     Generación de registros electrónicos de operaciones.

        Todas las operaciones realizadas a través de los comisionistas deberán generar registros electrónicos que no puedan ser modificados o borrados y en los que se deberá incluir al menos la fecha, hora, minuto y segundo, el tipo y monto de la instrucción, el número de cuenta del cliente bancario, ubicación física de la ventanilla o medio a través del cual se ejecutó la instrucción, así como la información suficiente que permita la identificación del personal que realizó la instrucción. La custodia de dichos registros deberá estar a cargo de la Institución.

III.     Requerimientos de Autenticación de Operadores y clientes bancarios.

1.     Mecanismos necesarios para la plena identificación de los comisionistas.

        Los sistemas informáticos de la Institución deberán autenticar a los Operadores que se conectarán a través de los comisionistas, mediante el uso de un Identificador Individual, en su caso, más dos Factores de Autenticación diferentes.

        Asimismo, los sistemas informáticos deberán evitar el acceso en forma simultánea, mediante la utilización de un mismo Identificador Individual, en su caso, a los sistemas de información de la Institución.

2.     Generación y entrega de Contraseñas o Claves de Acceso de los Operadores y Números de Identificación Personal (NIP) de los clientes bancarios.

        Las Instituciones deberán establecer mecanismos para el proceso de generación y entrega de los Factores de Autenticación, que aseguren que sólo el comisionista, los Operadores y los clientes bancarios, respectivamente, podrán conocer.

3.     Composición de Contraseñas o Claves de Acceso de los Operadores y Números de Identificación Personal (NIP) de los clientes bancarios.

        La longitud de las Contraseñas o Claves de Acceso de los Operadores deberá ser de al menos ocho caracteres.

        La longitud de los Números de Identificación Personal (NIP) de los clientes bancarios deberá ser de al menos cuatro caracteres.

        Adicionalmente, deberán realizarse las acciones necesarias para que los Operadores y los clientes bancarios no utilicen como Contraseñas o Claves de Acceso o Números de Identificación Personal (NIP), respectivamente, más de dos caracteres idénticos en forma consecutiva.

4.     Protección de Contraseñas o Claves de Acceso y Números de Identificación Personal (NIP).

        Las Instituciones deberán proveer lo necesario para evitar la lectura de los caracteres que componen las Contraseñas o Claves de Acceso, así como los Números de Identificación Personal (NIP) digitados por los Operadores y los clientes bancarios, respectivamente, en los Medios Electrónicos de acceso, tanto en su captura como en su despliegue a través de la pantalla.

        Las Contraseñas o Claves de Acceso y los Números de Identificación Personal (NIP) deberán validarse y almacenarse a través de mecanismos de encripción, cuyas llaves criptográficas deberán estar bajo administración y control de la Institución de que se trate. En ningún momento, los comisionistas podrán tener acceso a los datos o algoritmos relacionados con dichas Contraseñas o Claves de Acceso y Números de Identificación Personal (NIP).

5.     Autenticación con dos factores para clientes bancarios.

        Para la realización a través de los comisionistas de consultas y operaciones que representen un cargo a la cuenta de los clientes bancarios, éstos últimos deberán autenticarse a través de los Medios Electrónicos con los que se realicen las mencionadas operaciones utilizando dos Factores de Autenticación diferentes.

        Para efectos de lo anterior, las Instituciones podrán optar por la combinación de al menos dos de los siguientes Factores de Autenticación:

a)    Tarjetas de débito, crédito o prepagada con mecanismos de seguridad tales como tarjetas con banda magnética y/o circuito integrado o “chip”.

b)    Número de Identificación Personal (NIP).

        En el caso de que se utilicen tarjetas de débito, crédito o prepagadas bancarias, se deberá hacer uso de lectoras de tarjetas (PIN PAD) para la Autenticación de clientes bancarios, que cuenten con una pantalla y un teclado exclusivamente diseñado para que el cliente bancario pueda ingresar la información de su respectiva tarjeta y su Número de Identificación Personal (NIP), así como con mecanismos que eviten su lectura por parte de terceros.

        En el caso de utilizar teléfono celular, el Número de Identificación Personal (NIP) deberá ser ingresado directamente en el teclado de dicho teléfono. En ningún caso la información del NIP podrá ser almacenada en el teléfono celular sin mecanismos de encripción.

c)     Factor Biométrico.

En caso de utilizar lectores biométricos para la Autenticación de los clientes bancarios, dichos lectores deberán tener mecanismos que aseguren que es el cliente autorizado el que realiza la operación.

Toda la administración y control de la información biométrica deberá ser responsabilidad única de la Institución a través de los canales de atención al cliente que tienen establecidos.

d)    Teléfono celular.

En caso de utilizar teléfonos celulares para la Autenticación de los clientes bancarios, las Instituciones deberán verificar que la tecnología de dichos teléfonos celulares les permita funcionar como Factor de Autenticación y que cuenta con mecanismos de seguridad que eviten su duplicación, y ajustarse a lo dispuesto en el Capítulo X del Título Quinto de las presentes disposiciones.

        Las Instituciones no podrán utilizar la combinación de los Factores de Autenticación a que se refieren los incisos a) y d) para autenticar a sus clientes.

6.     Autenticación con dos factores para Operadores.

        Para la recepción y operación de transacciones solicitadas por los clientes bancarios a través de los Medios Electrónicos de los comisionistas, los Operadores deberán iniciar una sesión y autenticarse a través de dichos Medios utilizando dos Factores de Autenticación diferentes.

        Las Instituciones podrán optar por utilizar la combinación de al menos dos de los siguientes Factores de Autenticación, de acuerdo al servicio proporcionado y en función a los riesgos asociados:

a)    Contraseña o Clave de Acceso.

Para la lectura de estos medios, se deberán utilizar dispositivos que cuenten con una pantalla y un teclado para que el Operador pueda ingresar su respectivo Identificador Individual y su Contraseña o Clave de Acceso, así como con mecanismos que eviten su lectura por parte de terceros.

b)    Factor Biométrico.

En caso de utilizar lectores biométricos para la autenticación de los Operadores, deberán tener mecanismos que aseguren que es el Operador autorizado el que realiza la operación.

c)     Información dinámica obtenida a través de un generador de Contraseñas o Claves de Acceso de un solo uso (“Token”).

En caso de utilizar este Factor de Autenticación, las Instituciones deberán cumplir con lo dispuesto en el Capítulo X del Título Quinto de las presentes disposiciones.

d)    Tarjetas con mecanismos de seguridad, tales como tarjetas con banda magnética y/o circuito integrado o “chip”.

e)    Teléfono celular.

En caso de utilizar teléfonos celulares para la Autenticación de los operadores, las Instituciones deberán verificar que la tecnología de dichos teléfonos celulares les permita funcionar como Factor de Autenticación y que cuenta con mecanismos de seguridad que eviten su duplicación, y ajustarse a lo dispuesto en el Capítulo X del Título Quinto de las presentes disposiciones.

f)     Mecanismos de control de acceso físico a los dispositivos y Medios Electrónicos utilizados para realizar operaciones que aseguren que solamente personal autorizado hará uso de los mismos.

La administración y control de la asignación de los Factores de Autenticación deberá ser responsabilidad única de la Institución, a través de los mecanismos que ésta estime conveniente.

7.     Bloqueo automático de los Factores de Autenticación.

        Se deberán establecer esquemas de bloqueo automático de los Factores de Autenticación cuando se intente ingresar a los Medios Electrónicos de forma incorrecta. En ningún caso los intentos de acceso fallidos podrán exceder de cinco ocasiones consecutivas sin que se genere el bloqueo automático.

        Unicamente la Institución, previa autenticación del cliente bancario o del Operador, en su caso, podrá desbloquear dichos Factores de Autenticación.

8.     Acceso a datos del cliente bancario.

        En ningún caso los Medios Electrónicos utilizados por los comisionistas podrán permitir la realización de operaciones o consulta de saldos sin la previa Autenticación en términos del numeral 5 del apartado III del presente anexo, del cliente correspondiente. Quedarán exceptuadas para este caso las operaciones de depósito y pagos.

        Asimismo, tratándose de operaciones bancarias que requieran que el comisionista acceda a los saldos de las cuentas de los clientes bancarios, dicho comisionista deberá, en todo momento, guardar confidencialidad respecto de dicha operación y realizar previamente al acceso respectivo, la Autenticación referida en el numeral 1 del apartado III del presente anexo.

IV.     Operación de Medios Electrónicos.

1.     Validación de estructura de cuenta destino.

        Los Medios Electrónicos de los comisionistas deberán validar, con base en la información disponible para la Institución, la estructura del número de la cuenta destino o del contrato, ya sea que se trate de cuentas para depósito, pago de servicios, Clave Bancaria Estandarizada, tarjetas de crédito u otros medios de pago.

2.     Generación de comprobantes de operación.

        Los Medios Electrónicos deberán generar automáticamente los comprobantes de operación que emitan las Instituciones para cada operación, sin mediar intervención alguna por parte del personal del comisionista. Dichos comprobantes de operación serán diferentes a aquéllos que utilicen los comisionistas para registrar las operaciones propias de su giro comercial y deberán incluir, en adición a lo dispuesto por las disposiciones aplicables en materia de comprobantes de operación de las Instituciones, lo siguiente:

a)    Los datos que permitan al cliente bancario identificar la cuenta respecto de la cual se efectuó la operación. En ningún momento se deberá mostrar en los comprobantes el número completo de la cuenta, debiendo únicamente mostrar como máximo los últimos 5 dígitos de la misma.

b)    La información de las consultas de saldos, cuando el cliente así lo haya solicitado y autorizado, en cuyo caso deberá ser proporcionada únicamente al cliente a través del comprobante correspondiente. El comisionista no podrá emitir un duplicado de dicho comprobante o mantener copia del mismo.

c)     La identificación de la Institución y del comisionista con el que se efectuó la operación, precisando en este último caso, el domicilio del establecimiento a través del cual se ejecutó la instrucción, así como la identificación de los medios de disposición que se hubieren utilizado.

d)    La identificación del empleado del comisionista que realizó la operación.

e)    El número telefónico y el correo electrónico de la unidad especializada de atención a usuarios con que la Institución debe contar en términos de la Ley de Protección y Defensa al Usuario de Servicios Financieros, así como del centro de atención de la Institución. Asimismo, deberán indicarse los números correspondientes al “Centro de Atención Telefónica” de la Comisión Nacional para la Protección y Defensa de los Usuarios de Servicios Financieros.

f)     Cuando se alcancen los límites a que se refieren los Artículos 323 de las presentes disposiciones, según corresponda, no se podrán llevar a cabo las operaciones solicitadas, por lo que los Medios Electrónicos deberán generar comprobantes que indiquen al cliente bancario dicha situación. Para tales efectos, dichos comprobantes deberán incluir las leyendas siguientes:

i)      En el caso del límite a que se refieren la fracción I del Artículo 323 de las presentes disposiciones:

“Transacción no realizada por haber excedido su límite permitido. Acuda a una sucursal bancaria.”

ii)     En el caso del límite a que se refieren la fracción II del Artículo 323 de las presentes disposiciones, según corresponda:

“Transacción no realizada.”

Por ningún motivo deberá mostrarse en el comprobante de operación el domicilio del cliente.

3.     Monitoreo de operaciones.

        La Institución deberá establecer mecanismos continuos, mediante herramientas informáticas, que le permitan monitorear las actividades realizadas por los Operadores a través de los Medios Electrónicos de los comisionistas con el fin de detectar transacciones que se alejen de los parámetros habituales de operación.

4.     Almacenamiento de información de clientes bancarios en Medios Electrónicos de los comisionistas.

        Los comisionistas no podrán almacenar, conservar o copiar en sus Medios Electrónicos o en cualquier otro medio, información relacionada con la clientela de la Institución. Asimismo, los comisionistas no podrán emitir un duplicado de los comprobantes de consultas de saldos o mantener copias de los mismos. En los casos que por razones operativas y técnicas se requiera almacenar parcial o totalmente dicha información en sus Medios Electrónicos, ésta deberá mantener mecanismos de encripción. Las llaves criptográficas correspondientes deberán ser administradas por la propia Institución.

        En el caso de que la información relacionada con la clientela de la Institución corresponda a operaciones derivadas del uso de tarjetas prepagadas bancarias o de Cuentas Móviles, podrá ser almacenada sin mecanismos de encripción, siempre y cuando la información no contenga nombres y domicilios.

        Corresponderá a las Instituciones verificar el cumplimiento del presente numeral.

5.     Administración y control de aclaraciones y reportes por robo o extravío de los Factores de Autenticación.

Todas las aclaraciones y quejas a las que se refieren el segundo párrafo de la fracción III del Artículo 322 de las presentes disposiciones, según corresponda, así como los reportes por robo o extravío de los Factores de Autenticación mencionados en la fracción VI del mismo artículo, deberán consolidarse en una base de datos administrada y controlada en todo momento por la Institución de que se trate.

 

ANEXO 60

 

MODELO DE COMUNICACION MEDIANTE LA CUAL LOS CLIENTES MANIFIESTAN ESTAR ENTERADOS DE QUE LA INVERSION EFECTUADA EN LOS TITULOS BANCARIOS (CERTIFICADOS O CONSTANCIAS DE DEPOSITO A PLAZO O PAGARES CON RENDIMIENTO LIQUIDABLE AL VENCIMIENTO), SE CONSIDERARA COMO OBLIGACION GARANTIZADA, EN TERMINOS DE LO PREVISTO EN LA LEY DE PROTECCION AL AHORRO BANCARIO Y LA LEY DE INSTITUCIONES DE CREDITO

[Lugar y Fecha]

[Denominación de la Casa de Bolsa],

[Domicilio de la Casa de Bolsa],

P r e s e n t e.

Hago referencia a la inversión efectuada por el suscrito en [certificados o constancias de depósito o pagarés con rendimiento liquidable al vencimiento] emitidos por Banco _______, S.A., y realizada a través de esa Casa de Bolsa, como comisionista del Banco.

Asimismo, me refiero al contrato de depósito número _______ que celebré con ese intermediario bursátil.

Sobre el particular, manifiesto tener conocimiento de que los [certificados o constancias de depósito o pagarés con rendimiento liquidable al vencimiento] son títulos de crédito nominativos y no negociables emitidos por Banco _______, S.A., por lo que de conformidad con lo dispuesto en la Ley de Protección al Ahorro Bancario y en la Ley de Instituciones de Crédito, constituyen un pasivo a cargo de Banco _______, S.A., que se encuentran garantizados hasta por un monto equivalente a 400 mil unidades de inversión por persona, física o moral, y por banco, por el Instituto para la Protección al Ahorro Bancario (IPAB), en términos de lo previsto en los ordenamientos legales citados. De igual forma, tengo conocimiento de que esa Casa de Bolsa proporcionará al Banco _______, S.A., toda la información que sea necesaria de acuerdo con las disposiciones aplicables para que quede registrada como obligación garantizada por el IPAB.

Por último, manifiesto tener conocimiento de que las operaciones distintas que el suscrito tenga concertadas y celebradas directamente con esa Casa de Bolsa, no gozan de la cobertura del IPAB.

 

 

 

Atentamente,

[Nombre y firma del cliente]


 

 

ANEXO 61

 

 

TEXTO INFORMATIVO PARA LAS OPERACIONES REFERIDAS
EN LA FRACCION IX DEL ARTICULO 319

 

 

 

 

Se hace del conocimiento del cliente que el [certificado o constancia de depósito/pagaré con rendimiento liquidable al vencimiento] ha sido emitido por Banco _________, S.A., a favor de [nombre de la persona que invierte sus recursos] y es un título nominativo, no negociable, por lo que de conformidad con lo dispuesto en la Ley de Protección al Ahorro Bancario y la Ley de Instituciones de Crédito, se encuentra garantizado por el Instituto para la Protección al Ahorro Bancario hasta por un monto equivalente a 400 mil unidades de inversión por persona, física o moral y por banco. La presente inversión se considerará para efectos del referido límite garantizado, junto con las demás operaciones garantizadas que, en su caso, [nombre de la persona que invierte sus recursos] celebre o tenga celebradas con Banco __________, S.A.

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

____________________________