RESOLUCION 281/2004

VISTO: El artículo 34 inciso d) de la Ley N° 489/95, Orgánica del Banco Central del Paraguay, la Resolución SB. SG. N° 0229/2000 del 17 de octubre de 2000; y CONSIDERANDO: La necesidad de reglamentar el procedimiento para la descentralización de datos fuera de la Entidad Financiera local en condiciones igualitarias para el Sistema Financiero, que permitan el menor costo de procesamiento de datos informático y/u operativo y un mejor aprovechamiento de los productos. POR TANTO, en uso de las atribuciones que le confiere la Ley N° 489/95 «Orgánica del Banco Central del Paraguay»; EL SUPERINTENDENTE DE BANCOS RESUELVE:

Artículo 1°.- Reglamentar la descentralización del procesamiento de datos informático y/u operativo de las Entidades Financieras supervisadas por este organismo de control.

Art. 2°.- La descentralización del procesamiento de datos deberá ser realizada previa autorización de la Superintendencia de Bancos, la cual podrá exigir, como parte de la evaluación previa, la inspección in-situ del lugar físico donde será llevado el procesamiento, quedando todos los gastos en que se incurran, por cuenta de la Entidad Financiera local.

Art. 3°.- El procesamiento de datos, parcial o total, fuera del territorio de la República del Paraguay solicitado por la Entidad Financiera local, podrá ser realizado únicamente en la Casa Matriz, sus sucursales y subsidiarias.

Art. 4°.- La solicitud del servicio de procesamiento de datos fuera de la Entidad Financiera local deberá acompañar:

a) El domicilio donde se desarrollarán las actividades de procesamiento informático y/u operativo,

b) La naturaleza de cada actividad y la fecha probable de inicio.

c) El Acta del Directorio de la Casa Matriz y/o Oficina Regional y/o su equivalente en el país de la Entidad Financiera solicitante, conteniendo información donde se explique que esta Entidad cuenta con una organización y personal adecuados, con conocimientos y experiencia en procesamiento de datos y/o en servicios bancarios, como asimismo de que sus sistemas de control interno responden a las características del servicio que se pretende contratar. En lo que se refiere a la descentralización del procesamiento informático, se deberá presentar el informe técnico en el cual se comprueba que la infraestructura tecnológica y los sistemas a utilizar poseen la seguridad física y lógica necesaria.

d) La asunción de la responsabilidad por parte de la Entidad Financiera local y la Entidad Financiera del Exterior, para mantener políticas y procedimientos que garantizan la confidencialidad de la información conforme a lo establecido en las Leyes 861/96 y 489/95, como asimismo en lo relacionado a pérdidas, atrasos o deterioros de la misma.

Art. 5°.- La autorización otorgada por la Superintendencia de Bancos se referirá solo al proyecto específico de la actividad, objeto de la solicitud. Cualquier cambio posterior a las condiciones sobre cuya base se otorgó la autorización debe ser objeto de una nueva solicitud.

Art. 6°.- La autorización podrá ser revocada en caso de observarse desviaciones de lo indicado en el Acta de Directorio precitado, sin perjuicio de las sanciones a ser aplicadas por desatender las disposiciones que dicte la Superintendencia de Bancos en el ejercicio de sus funciones, conforme el artículo 38 de la Ley Nº 861/96.

Art. 7°.- Una vez obtenida la autorización, la Entidad Financiera local procederá a la firma del contrato con la Entidad Financiera del Exterior, el cual debe contener como mínimo lo siguiente:

a) La autorización para que la Superintendencia de Bancos pueda realizar inspecciones generales de las actividades descentralizadas en las instalaciones del exterior donde estas se desarrollan, una vez al año o cuando lo considere necesario, quedando todos los gastos en que se incurran, por cuenta de la Entidad Financiera local.

b) La facultad de la Entidad Financiera local para practicar evaluaciones periódicas en la Entidad Financiera del exterior, directamente o mediante auditorías independientes, en los casos en que fuera necesario.

c) Los términos y condiciones del servicio donde se especifiquen las tareas técnicas que corresponden a la Entidad Financiera local y a la Entidad Financiera del Exterior, debiendo el documento ser revisado periódicamente con el propósito de adaptarlo a las necesidades que surgieran.

d) Una cláusula donde se exprese que la administración del acceso a los datos del sistema será exclusiva para los funcionarios autorizados por la Entidad Financiera local. Si existe la necesidad de que alguna área de la Entidad Financiera del Exterior realice la administración del acceso lógico y/o a los datos del sistema, dicha área y el personal de la misma deberán estar claramente identificados, además de que sus funciones justifiquen tal privilegio.

e) Cláusula de confidencialidad, la cual deberá prever:

- La declaración de que los servicios prestados por la Entidad Financiera del Exterior a la Entidad Financiera local otorgan la seguridad suficiente de manera a mantener la confidencialidad de la información procesada, para aquellos casos de descentralización del procesamiento informático.

- Para los casos de una descentralización operativa de datos, la Entidad Financiera del Exterior deberá comprometerse a que los funcionarios que posean acceso a los datos de la Entidad Financiera local firmen un Acuerdo de confidencialidad con la misma.

Art. 8°.- Si existiese divulgación relativa a los datos de la Entidad Financiera local en el exterior, la responsabilidad será exclusiva de la Entidad propietaria de la información (local), quien estará sujeta a lo establecido en la Ley Nº 861/96 en su Capítulo II «Deber de Secreto».

Art. 9°.- Contar con un Plan de Continuidad de Negocio que contemple la contingencia de la interrupción de la actividad y/o de la información que origina dicha actividad en el exterior, de manera tal que permita, en cualquier momento, continuar realizando el procesamiento de datos informático y/u operativo en la República del Paraguay. Este Plan deberá ser probado con resultados exitosos bajo la supervisión de los Inspectores Informáticos de la Superintendencia de Bancos, en lo que a sistemas de información y tecnología informática se refiere, antes de iniciarse la actividad en el exterior y por lo menos una vez al año. El Plan de Continuidad mencionado deberá estar adecuado, como mínimo, a lo dispuesto en la Resolución SB. SG. N° 00188/2002 de fecha 11 de julio de 2002, que implementa el Manual de Control Interno Informático.

Art. 10°.- La Entidad Financiera del Exterior donde se desarrollen las actividades deberá mantener las copias de respaldo, teniendo en cuenta como mínimo las condiciones especificadas en la Resolución SB. SG. Nº 0229/2001 de fecha 24 de agosto de 2001.

Art. 11°.- Se deberán mantener en la República del Paraguay los archivos de respaldo en las condiciones especificadas en la Resolución SB. SG. N° 0229/2001, de forma que le permitan tanto a la Entidad Financiera local como a la Superintendencia de Bancos reconstruir y/o reprocesar sus operaciones y negocios en cualquier momento.

Art. 12°.- Las auditorías internas de las Entidades Financieras locales que hayan decidido la descentralización de actividades se ajustarán a las Normas Mínimas de Auditoría Interna vigentes, reglamentadas en la Resolución SB. SG. N° 0188/2002, debiendo establecerse claramente las funciones, si hubiera auditorías internas regionales y/o globales en la estructura. Se considerarán los informes de auditoría en su idioma original y su traducción al español, si este no fuese el idioma de origen. Dicha traducción deberá contar con la firma del traductor encargado de los mismos.

Art. 13°.- La Entidad Financiera local deberá comunicar todo cambio en su tecnología incluyendo todos los recursos informáticos que afecten al proceso de los datos en el exterior en base a lo reglamentado por la Circular SB. SG. Nº 0027/2002.

Art. 14°.- La modalidad de operación y el equipamiento deberá permitir, en todo momento, acceder a la información que generen las actividades descentralizadas, desde las terminales instaladas en la República del Paraguay.

Art. 15°.- Las disposiciones precedentes no liberan a las Entidades Financieras locales de sus responsabilidades presentes o futuras, que les corresponden en virtud de las disposiciones legales vigentes, sus reglamentaciones y demás normas dictadas por el Banco Central del Paraguay y la Superintendencia de Bancos.

Art. 16°.- Cualquier situación que no se ajuste a alguna de las condiciones anteriormente señaladas deberá ser consultada previamente a esta Superintendencia de Bancos.

Art. 17°.- Comuníquese a quienes corresponda, publíquese y posteriormente archívese.

Superintendente de Bancos Interino:

Oscar Boidanich Ferreiras