Artículo 318

(300) Artículo 318.- Las Instituciones, con las excepciones previstas en las fracciones I a XVII del Artículo 317

de las presentes disposiciones, para contratar cualquiera de los servicios o al celebrar las comisiones

mercantiles a que se refiere el presente Capítulo XI, deberán cumplir con los requisitos siguientes:

I. Tratándose de actividades que impliquen actuar frente al público en general, en todo momento,

los terceros que las Instituciones contraten deberán actuar a nombre y por cuenta de la Institución

comitente, por lo que la citada relación deberá documentarse mediante contratos de comisión

mercantil.

(347) Asimismo, en ningún caso, dichos comisionistas podrán llevar a cabo aprobaciones y aperturas

de cuentas de operaciones activas, pasivas y de servicios, salvo que se trate de operaciones de las

previstas por el Artículo 319, fracciones IX y X y el Artículo 319 Bis de las presentes disposiciones.

(347) II. Contar con un informe y flujograma que especifiquen los procesos operativos o de administración

de bases de datos y sistemas informáticos, la información intercambiada en dichos procesos, la

ubicación física de los servidores de la Institución y del comisionista de base tecnológica, así como

el nombre, domicilio y el contrato que los comisionistas de base tecnológica pacten con terceros

para la prestación de servicios de cómputo bajo demanda y de infraestructura tecnológica a través

de Internet para soportar su operación que sean objeto de los servicios a contratar. Asimismo,

deberán contar con las políticas y criterios para seleccionar al tercero, los cuales estarán orientados

a evaluar la experiencia, capacidad técnica y recursos humanos del tercero con quien se contrate

para prestar el servicio con niveles adecuados de desempeño, confiabilidad y seguridad, así como

los efectos que pudieran producirse en una o más operaciones que realice la Institución.

(300) Las políticas y criterios a que se refiere el párrafo anterior deberán elaborarse por el director

general u otro funcionario que este designe y ser aprobadas por el Consejo de Administración de

la Institución, a propuesta del Comité de Riesgos o del Comité de Auditoría.

(300) El Comité de Auditoría será responsable de verificar la implementación de dichas políticas y

criterios.

(300) III. Prever en el contrato de prestación de servicios o comisión respectivo, la aceptación incondicional

del comisionista o del tercero que proporcione el servicio, para:

(300) a) De manera expresa:

(300) 1. Recibir visitas domiciliarias por parte del auditor externo de la Institución, de la

Comisión o de los terceros que la propia Comisión designe en términos de lo

dispuesto por el Artículo 46 Bis 1 y el Artículo 117 de la Ley, a efecto de llevar a cabo la

supervisión correspondiente, con el propósito de obtener información para constatar

que los servicios o comisiones contratados por la Institución, le permiten a esta última

cumplir con las disposiciones aplicables. Para que se realicen las visitas referidas, las

Instituciones podrán designar un representante.

(300) 2. Aceptar la realización de auditorías por parte de la Institución, en relación con los

servicios o comisiones objeto de dicho contrato, a fin de verificar la observancia de las

disposiciones aplicables a las Instituciones.

(347) 3. Entregar, a solicitud de la Institución, al auditor externo de la propia Institución y a la

Comisión o al tercero que dicha Comisión designe, libros, cifras de control, estructuras

de información, informes, pruebas de operación, registros, manuales y docum entos

en general que acrediten y tomen evidencia en relación al cumplimiento de estas

disposiciones, relacionados con la prestación del servicio o comisión de que se trate,

los cuales podrán ser entregados digitalmente y firmados mediante Firma Electrónica

Avanzada o Fiable. Asimismo, permitir el acceso al personal responsable y a sus

oficinas e instalaciones en general, relacionados con la prestación del servicio en

cuestión.

(300) 4. Informar a la Institución con por lo menos treinta días naturales de anticipación,

respecto de cualquier reforma a su objeto social o en su organización interna que

afecte la prestación del servicio o comisión objeto de la contratación.

(300) 5. Guardar confidencialidad respecto de la información a la que se tenga acceso por la

prestación del servicio o comisión, debiendo, además, establecer las medidas

necesarias para mantener la seguridad de las operaciones y proteger la información

de los clientes, manifestando entender y aceptar que, por virtud de lo señalado en el