Gestión Externa de TI: Garantizando la Excelencia y la Conformidad en la Externalización de Sistemas y Procesamiento de Datos
Dentro el Artículo 3° – (Procesamiento de datos tercerizado o ejecución de sistemas en lugar externo) de la Sección 11: Administración de Servicios y Contratos con Terceros Relacionados con Tecnología de la Información, se establece un marco riguroso y detallado para la selección y gestión de proveedores externos encargados del procesamiento de datos y sistemas operativos. Este marco está diseñado para asegurar que todos los servicios contratados no solo cumplan con los más altos estándares de seguridad, sino que también mantengan una eficacia operacional óptima. A continuación, se desglosan los puntos clave de este marco:
1. Evaluación y Selección de Proveedores:
- Capacidad y Experiencia: Los administradores, junto con la Gerencia General, tienen la responsabilidad de verificar que los proveedores posean las capacidades técnicas y experiencia necesaria para manejar los datos asociados a las operaciones específicas de la entidad. Es crucial que los servicios ofertados se alineen con las necesidades operativas y estratégicas de la organización.
- Infraestructura Tecnológica: Es vital que la infraestructura tecnológica del proveedor esté diseñada para proporcionar una seguridad robusta y continuada. Debe garantizar la protección de la confidencialidad, integridad y disponibilidad de los datos. Esto incluye sistemas avanzados para la recuperación de datos y acceso rápido en respuesta a las demandas operativas o solicitudes de autoridades regulatorias, como la Autoridad de Supervisión del Sistema Financiero (ASFI).
2. Cumplimiento de las Políticas de Seguridad:
- Seguridad de la Información: La entidad contratante debe supervisar rigurosamente y exigir que el proveedor cumpla con todas las políticas y procedimientos de seguridad pertinentes, para asegurar la protección adecuada y efectiva de los datos sensibles y críticos.
3. Garantía de Continuidad Operacional:
- Continuidad de Servicios: Se deben establecer protocolos claros y efectivos para asegurar una transición sin interrupciones del servicio de procesamiento de datos, incluso en circunstancias de cambio de proveedor o ante cualquier eventualidad que pueda surgir.
4. Comunicación Regulatoria y Documentación:
- Reportes y Comunicaciones a ASFI: En caso de que los servicios se externalicen fuera del territorio nacional, es imperativo informar a la ASFI, proporcionando documentación exhaustiva que detalle las actividades externalizadas, el entorno de procesamiento de datos, los responsables de la gestión y control, junto con un informe del Gerente General que valide la conformidad con las normativas vigentes.
5. Obligaciones de Reporte Anual:
- Informe Anual al Directorio: Cada año, antes del 31 de marzo, el Gerente General debe presentar un informe jurado, refrendado por el Auditor Interno, que detalla los servicios de procesamiento de datos o ejecución de sistemas realizados por terceros durante el año anterior. Este informe debe incluir una lista detallada de los proveedores utilizados y confirmar que aquellos que no poseen licencia de la ASFI cumplen con los estándares de seguridad de la información establecidos.
Ejemplo Práctico:
Consideremos el caso de una entidad financiera que decide externalizar el procesamiento de sus transacciones financieras. Antes de formalizar cualquier acuerdo, la entidad lleva a cabo una evaluación exhaustiva del proveedor potencial. Esto implica un análisis detallado de su capacidad operativa, la solidez de su infraestructura tecnológica y el cumplimiento estricto de las normativas de seguridad vigentes.
Además, como parte de sus obligaciones regulatorias, la entidad informa a la Autoridad de Supervisión del Sistema Financiero (ASFI) sobre la intención de externalizar estos servicios. Esta comunicación con el regulador garantiza la transparencia y el cumplimiento de las regulaciones establecidas.
Durante todo el proceso de externalización, la entidad mantiene una comunicación constante y transparente con su Directorio. Se comparten regularmente actualizaciones sobre el progreso y el cumplimiento de los servicios externalizados, asegurando que el Directorio esté plenamente informado y pueda tomar decisiones fundamentadas en beneficio de la institución financiera y sus clientes.
Recursos de Buenas Prácticas:
- ISO/IEC 27001: Establece un marco para la gestión segura de la información.
- Lineamientos de ASFI: Proporcionan recomendaciones específicas para la seguridad de la información en contextos de procesamiento de datos tercerizado.
En REDTISEG, comprendemos la importancia crítica de un proceso de externalización bien gestionado para la tecnología de la información. Ofrecemos experticia en el desarrollo de políticas y procedimientos robustos que aseguren la selección adecuada de proveedores y la gestión eficaz de contratos externalizados. Contáctenos para profundizar en cómo podemos asistirle en fortalecer la seguridad y confiabilidad de sus servicios tercerizados.
