Artículo 321 Bis 2

(301) Artículo 321 Bis 2. - Las Instituciones podrán facultar a personas morales, a través de un mandato o

comisión, para que contraten o participen en la contratación de terceras personas que actúen como

comisionistas de la Institución para que celebren con los clientes y público en general, a nombre y por

cuenta de la propia Institución, las operaciones a que se refiere el Artículo 319 de las presentes

disposiciones; dichas personas recibirán, para efectos de las presentes disposiciones, el nombre de

Administrador de Comisionistas.

(301) Lo anterior, en el entendido de que las Instituciones otorgarán tales facultades, con la finalidad de que

el Administrador de Comisionistas organice redes de comisionistas bancarios para que las operaciones

que se presten se hagan de manera uniforme, a fin de mantener un estándar de calidad alto en la

realización de tales operaciones.

(301) La contratación del Administrador de Comisionistas requerirá de la autorización de la Comisión, para

lo cual deberá entregar el proyecto de contrato de mandato o comisión mercantil a celebrarse entre la

Institución y el Administrador de Comisionistas, así como el proyecto de contrato con el comisionista

correspondiente. Asimismo, las demás obligaciones que las disposiciones impongan a los comisionistas

y que el Administrador de Comisionistas pudiera suplir y acreditar, sin que por ello pueda el

Administrador de Comisionistas realizar las operaciones a que se refieren el Artículo 319 de estas

disposiciones.

(301) Adicionalmente, cuando el Administrador de Comisionistas provea el servicio de infraestructura

tecnológica deberá entregar lo siguiente:

(301) I. Descripción de los servicios de infraestructura de soporte y operativa, equipos, sistemas

automatizados de procesamiento de datos y redes de telecomunicaciones que el Administrador de

Comisionistas prestará a los comisionistas para la correcta realización de las operaciones.

(301) II. Esquemas de redundancia o mecanismos alternos en las telecomunicaciones de punto a punto

que permitan contar con enlaces de comunicación que minimicen el riesgo de interrupción en el

servicio de telecomunicaciones que adoptará el Administrador de Comisionistas o la Institución.

(301) III. Estrategia de continuidad en los servicios informáticos que proporcionen al comisionista

respecto de la capacidad de procesar y operar los sistemas en caso de contingencia, fallas o

interrupciones en las telecomunicaciones o de los equipos de cómputo centr ales y otros que estén

involucrados en el servicio de procesamiento de información de operaciones o servicios.

(301) IV. Mecanismos a adoptarse por el Administrador de Comisionistas o la Institución para establecer

y vigilar la calidad en los servicios de información, así como los tiempos de respuesta de los sistemas

y aplicaciones.

(301) V. Descripción de los controles automatizados que utilizará el Administrador de Comisionistas para

evitar que los comisionistas excedan los límites de operación establecidos en el Artículo 323 de las

presentes disposiciones, cuando tales operaciones se realicen con la infraestructura tecnológica del

Administrador de Comisionistas.

(301) VI. Descripción de mecanismos automatizados para detectar y prevenir eventos e incidentes de

seguridad de la información, así como para evitar conexiones y flujos de datos entrantes o salientes

no autorizados y fuga de información, considerando entre otros, me dios de almacenamiento

removibles.

(301) VII. Informe detallado de resultados de pruebas de escaneo de vulnerabilidades de los componentes

de la infraestructura tecnológica del Administrador de Comisionistas que almacenen, procesen o

transmitan información de las operaciones bancarias.

(301) Adicionalmente, las pruebas a que se refiere el párrafo anterior deberán realizarse al menos

trimestralmente y mantener los informes de resultados y evidencia de las acciones de mitigación

implementadas para subsanar las vulnerabilidades de severidad críti cas y altas a disposición de la

Comisión.

(301) VIII. Informe de resultados detallado de las pruebas de penetración realizadas por un tercero

independiente, cuyo personal cuente con capacidad técnica comprobable mediante certificaciones

especializadas en la materia, dichas pruebas deberán contemplar la infraestructura tecnológica del

Administrador de Comisionista para la comisión mercantil. Adicionalmente, estas pruebas deberán

realizarse al menos una vez al año y mantener los informes de resultados y evidencia de las acciones

de mitigación implementadas para subsanar las vulnerabilidades de severidad críticas y altas a

disposición de la Comisión.

(301) IX. Planes de remediación respecto de los hallazgos de las revisiones y pruebas a que se refieren las

fracciones VII y VIII anteriores, así como la evidencia de las acciones de mitigación implementadas

para subsanar las vulnerabilidades de severidad críticas y altas.

(301) Las Instituciones establecerán en los contratos que celebren con los Administradores de

Comisionistas o en los contratos que celebren con los comisionistas y donde participe el Administrador

de Comisionistas, según sea procedente de acuerdo con las obligaciones de cada una de las partes en el

contrato, lo siguiente:

(301) i. La obligación del Administrador de Comisionistas de verificar y acreditar ante la Institución que los

comisionistas que contrate para la realización de las operaciones previstas en el Artículo 319 anterior,

cumplan con los aspectos señalados en el Artículo 318, fracciones II a VII de las presentes

disposiciones, así como realizar las auditorías a que se refiere el Artículo 318 Bis 1 del presente

instrumento.

(301) ii. Establecer que el Administrador de Comisionistas tendrá prohibido:

(301) a) Llevar a cabo alguna de las operaciones previstas en el Artículo 319 a nombre y por cuenta de

la Institución, ni tampoco a nombre propio.

(301) b) Publicitarse o promocionarse de cualquier forma a través de la papelería o en el anverso de

los comprobantes que proporcionen a los clientes por las operaciones que realicen a nombre

de la Institución de que se trate.

(301) c) Subcontratar los servicios relacionados con la comisión mercantil.

(301) iii. El derecho de la Institución para suspender el contrato en caso de que el Administrador de

Comisionistas incumpla con las presentes disposiciones.

(301) El Administrador de Comisionistas deberá verificar que los comisionistas que conformen su red

cumplan con lo establecido en el Anexo 58 de las presentes Disposiciones.