Normativa · Circular 1985 · circulares

Artículo 1985Instituciones de Intermediación Financiera y Casas de Cambio – Normativa sobre procesamiento externo de datos y resguardo de la información. Empresas Administra

Montevideo, 1º de abril de 2008 CIRCULAR N° 1.985 Ref: Instituciones de Intermediación Financiera y Casas de Cambio – Normativa sobre procesamiento externo de datos y resguardo de la información. - Empresas Administradoras de Créditos de Mayores Activos – Requisitos para el resguardo de la información y documentación, plazos de conservación de los libros, plan de continuidad operacional, procesamiento externo de datos, conservación y reproducción de documentos. Se pone en conocimiento que la Superintendencia de Instituciones de Intermediación Financiera adoptó, con fecha 19 de febrero de 2008, la resolución que se transcribe seguidamente: 1. INCORPORAR al Título I “Normas generales” de la Parte Primera “Informaciones” del Libro V “Régimen informativo y sancionatorio” de la Recopilación de Normas de Regulación y Control del Sistema Financiero los siguientes artículos: “ARTÍCULO 307.6.1 (CONDICIONES PARA EL PROCESAMIENTO EXTERNO DE DATOS). Las instituciones de intermediación financiera deberán contar con políticas y procedimientos establecidos por escrito y la organización funcional necesarios que aseguren una efectiva identificación, medición, control y monitoreo de los riesgos -tanto presentes como futuros- asociados a los acuerdos de tercerización relativos al procesamiento externo de la información, sea en el país o en el exterior. En particular, deberán evaluar los riesgos emergentes de la tercerización de múltiples actividades en un mismo proveedor. En lo que refiere a la evaluación de los riesgos que se asumen en materia de protección de datos de los clientes, las instituciones deberán informar -al presentar la solicitud de autorización a que refiere el artículo 307.6- las medidas adoptadas o a adoptar tendientes a asegurar que la información se mantendrá con la reserva requerida por la legislación uruguaya. Cuando el procesamiento externo de la información se realice en el extranjero, las instituciones de intermediación financiera deberán, además, prestar particular atención a los requerimientos legales y regulatorios existentes en la jurisdicción anfitriona así como a las potenciales condiciones políticas, económicas y sociales u otros eventos que puedan conspirar contra la habilidad del proveedor de cumplir satisfactoriamente con las obligaciones acordadas. Estos extremos deberán verificarse tanto al momento de la selección inicial del proveedor como al momento de eventuales renovaciones de contrato.” “ARTÍCULO 307.6.2 (REQUISITOS ESPECIALES PARA EL PROCESAMIENTO DE DATOS EN EL EXTERIOR DEL PAÍS). Con relación al resguardo de la información en el exterior, una de las copias a Banco Central del Uruguay - 1 CIRCULAR Nº 1.985 que refiere el artículo 307.1 deberá radicarse físicamente en el Uruguay y permanecer accesible a los funcionarios de la Superintendencia de Instituciones de Intermediación Financiera en un plazo no mayor al que fije la referida Superintendencia en función del lugar del procesamiento. En cuanto a los requisitos mínimos que detalla el artículo 307.3, las instituciones de intermediación financiera que procesen datos en el exterior deberán contar, además, con una modalidad de operación y un equipamiento tales que permitan en todo momento el acceso en línea a toda la información financiero-contable desde las terminales instaladas en el Uruguay. En lo que respecta al plan de continuidad operacional a que alude el artículo 307.5, éste deberá ser probado con resultados exitosos previo al inicio de la actividad de procesamiento y posteriormente, por lo menos una vez al año. La Superintendencia de Instituciones de Intermediación Financiera podrá disponer que estas pruebas se realicen bajo su supervisión. Cuando el procesamiento de datos en el exterior sea considerado significativo a juicio de la referida Superintendencia se deberá cumplir con las condiciones establecidas en los apartados a. a c. ó, alternativamente, con la dispuesta en el apartado d., según se indica a continuación: a. El país donde se realice el procesamiento y el país donde se brinde la contingencia para la continuidad operacional, en caso que fuera diferente, deberán estar calificados en una categoría igual o superior a BBB- o equivalente. b. La institución que solicite procesar la información en otro país o el grupo financiero que integre, deberá tener habilitación como institución financiera en aquel país, así como en el país seleccionado para brindar la contingencia para la continuidad operacional si este último fuera diferente del primero. c. La(s) empresa(s) que realice(n) el procesamiento y brinde(n) la contingencia deberá(n) integrar el grupo financiero al cual pertenece la institución que solicite procesar la información en el exterior. d. El procesamiento o el suministro de la contingencia para la continuidad operacional sea realizada por un banco del exterior calificado en una categoría no inferior a BBB+ o equivalente. Las calificaciones deberán ser emitidas por alguna entidad calificadora de riesgo admitida de acuerdo con el artículo 39.21, conforme a la escala internacional usada por la misma. El procesamiento de datos en el exterior será considerado significativo cuando se cumpla alguna de las siguientes condiciones: los ingresos brutos anuales generados por la operativa cuyo procesamiento de datos se terceriza superan el 15% del total de ingresos brutos anuales de la institución, determinados de acuerdo con las instrucciones que se impartirán. el costo anual del procesamiento de datos a tercerizar supera el 20% del total de costos de procesamiento de datos anuales de la institución. en caso de verificarse una disrupción del servicio y sin prejuicio del mantenimiento del plan de continuidad operacional, no exista la posibilidad de encontrar un proveedor alternativo o de llevar a cabo la actividad internamente, en un tiempo razonable. Banco Central del Uruguay - 2 CIRCULAR Nº 1.985 Asimismo, la Superintendencia de Instituciones de Intermediación Financiera evaluará la habilidad de la institución para mantener controles internos apropiados y satisfacer los requerimientos regulatorios correspondientes.” “ARTÍCULO 307.6.3 (INFORME SOBRE EL PROCESAMIENTO EXTERNO DE DATOS). La persona o sector responsable de administrar los riesgos tecnológicos y operativos en la institución de intermediación financiera deberá elaborar anualmente un informe en el que conste: - un análisis de todos los riesgos asociados a la actividad tercerizada; - una relación de todos aquellos eventos que afectaron la continuidad del negocio y las medidas implementadas para mitigarlos o eliminarlos. El citado informe referirá al período finalizado al 31 de diciembre de cada año y deberá entregarse en la Superintendencia de Instituciones de Intermediación Financiera dentro de los 30 días siguientes a dicha fecha.” 2. SUSTITUIR en el Título I “Normas generales” de la Parte Primera “Informaciones” del Libro V “Régimen informativo y sancionatorio” de la Recopilación de Normas de Regulación y Control del Sistema Financiero los siguientes artículos: “ARTÍCULO 307.1 (RESGUARDO DE LA INFORMACIÓN). Las instituciones de intermediación financiera deberán implementar procedimientos de resguardo de datos y software, de tal forma que sea posible reconstruir las informaciones emitidas para el Banco Central del Uruguay, los registros contables y cada uno de los movimientos que dan origen a los mismos -hasta un grado de detalle tal que permita la identificación de las cuentas y los movimientos en los rubros de los estados contables-, así como todo otro dato que se considere relevante en la reconstrucción de las operaciones a los fines del Banco Central del Uruguay o para requerimientos judiciales. A tales efectos deberán ceñirse a las instrucciones que se impartirán. Los formatos de guarda serán dispuestos -en cada caso- por la Superintendencia de Instituciones de Intermediación Financiera. Los citados procedimientos deberán incluir, como mínimo, un resguardo diario y deben prever la generación de, por lo menos, 2 (dos) copias de resguardo, debiendo una de ellas ser almacenada a una distancia razonable del centro de procesamiento, en un edificio distinto al mismo. Se admitirá el respaldo incremental, es decir, un respaldo diario que contemple únicamente los movimientos del día, pero semanalmente deberá realizarse un respaldo completo de acuerdo con las condiciones previstas en el primer párrafo. Por lo menos una vez al año se deberán realizar pruebas -formales y debidamente documentadas- de recuperación y de integridad de los resguardos de datos, no pudiendo dichas pruebas aplicarse a datos previamente probados y validados.” “ARTÍCULO 307.3 (REQUISITOS MÍNIMOS). En la ejecución de los procedimientos de resguardo, así como en cada uno de los recursos intervinientes en los procesos de tecnología informática (sistemas de aplicación, tecnología, instalaciones y personal) deberán satisfacerse los requisitos de disponibilidad, integridad, confidencialidad, autenticidad y confiabilidad. La disponibilidad se satisface si las personas autorizadas pueden acceder en tiempo y forma a la Banco Central del Uruguay - 3 CIRCULAR Nº 1.985 información a la que están autorizadas. La integridad implica que todas las transacciones y otros acontecimientos o circunstancias que tuvieron lugar durante un período específico y fueron reconocidos y contabilizados, han sido efectivamente respaldados y no pueden ser modificados. La confidencialidad refiere a que la información crítica o sensible debe ser protegida a fin de evitar su uso no autorizado. La autenticidad implica que los datos y la información deben ser introducidos y comunicados por usuarios auténticos y con las autorizaciones necesarias. La confiabilidad de los datos se alcanza cuando éstos representan con exactitud y en forma completa la información contenida en los comprobantes que documentan las transacciones introducidas en el sistema de procesamiento de datos y cuando, a partir de esos datos, es posible generar cualquier información exigida por el Banco Central del Uruguay. Para que la confiabilidad sea efectiva debe cumplirse la integridad.” “ARTÍCULO 307.6 (PROCESAMIENTO EXTERNO DE DATOS). El procesamiento de la información de las instituciones de intermediación financiera por parte de agentes externos -sea éste parcial o total, local o en el exterior- requerirá de autorización previa del Banco Central del Uruguay en los términos del artículo 2 de la Ley N° 17.613 de 27.12.2002. La solicitud de autorización deberá cursarse de acuerdo con las instrucciones que se impartirán y referirá sólo al proyecto específico objeto de la solicitud. Todo cambio posterior al alcance o a las condiciones sobre cuya base se otorgó la autorización original, deberá ser objeto de una nueva solicitud. La autorización concedida podrá ser revocada en caso de observarse desviaciones de lo indicado, sin perjuicio de otras sanciones que pudieren aplicarse a la institución financiera por el incumplimiento de las instrucciones impartidas por la Superintendencia de Instituciones de Intermediación Financiera. A los efectos de la citada solicitud de autorización, la institución de intermediación financiera deberá acreditar que los procedimientos de resguardo de datos y software satisfacen las condiciones del artículo 307.1 y que la infraestructura tecnológica y los sistemas que se emplearán para la comunicación, almacenamiento y procesamiento de datos ofrecen seguridad suficiente para satisfacer las condiciones establecidas en el artículo 307.3, así como para resguardar permanentemente la continuidad operacional descripta en el artículo 307.5. No podrán tercerizarse actividades con proveedores que a su vez tengan contratada la función de auditoría interna o externa de dichas actividades. Los costos en que incurra esta Superintendencia por la supervisión del procesamiento de datos en lugar diferente al territorio nacional, serán de cargo de la institución de intermediación financiera que utilice el servicio externo de que se trata.” 3. INCORPORAR los artículos 307.6.1 a 307.6.3 a las remisiones del artículo 408 de la Recopilación de Normas de Regulación y Control del Sistema Financiero. Banco Central del Uruguay - 4 CIRCULAR Nº 1.985 4. INCORPORAR al Título II “Empresas de mayores activos” del Libro XI “Empresas Administradoras de Crédito” de la Recopilación de Normas de Regulación y Control del Sistema Financiero los siguientes artículos: “ARTÍCULO 490.2 (REQUISITOS PARA EL RESGUARDO DE INFORMACIÓN Y DOCUMENTACIÓN). Las empresas administradoras de crédito se sujetarán, a los efectos del resguardo de información y documentación, a las disposiciones establecidas en los artículos 307.1 a 307.3.” “ARTÍCULO 490.3 (PLAZOS DE CONSERVACIÓN). Las empresas administradoras de crédito se sujetarán, en lo que respecta a los plazos de conservación de los libros sociales originales o los soportes de información que contengan su reproducción, los documentos, formularios, correspondencia y todo otro comprobante vinculado con la operativa, así como la información a que refiere el artículo 307.1, a lo dispuesto en el artículo 307.4.” “ARTÍCULO 490.4 (PLAN DE CONTINUIDAD OPERACIONAL). Las empresas administradoras de crédito deberán contar con un plan de continuidad operacional de acuerdo con lo dispuesto en el artículo 307.5.” “ARTÍCULO 490.5 (PROCESAMIENTO EXTERNO DE LA INFORMACIÓN). Las empresas administradoras de crédito se sujetarán, a los efectos del procesamiento externo de la información, a las disposiciones establecidas en los artículos 307.6 a 307.6.3.” “ARTÍCULO 490.6 (NORMAS PARA LA CONSERVACIÓN Y REPRODUCCIÓN DE DOCUMENTOS). Las empresas administradoras de crédito se sujetarán, a los efectos de la conservación y reproducción de documentos, a las disposiciones establecidas en los artículos 307.7 a 307.10.” 5. VIGENCIA. Las modificaciones dispuestas en los numerales 1. a 3. en relación a la normativa aplicable a las instituciones de intermediación financiera y casas de cambio sobre resguardo de información y lo dispuesto en el numeral 4. será de aplicación a partir del 1° de julio de 2008. En materia de procesamiento externo de datos, las autorizaciones concedidas se considerarán válidas a los efectos de la presente normativa. Juan Pedro Cantera Gerente de Área Estudio y Regulación Banco Central del Uruguay - 5 CIRCULAR Nº 1.985

Rige desde: la fuente no lo dice; el texto es el de la copia consultada el 11 de octubre de 2026
Copia: Circular 1985
Texto oficial: https://www.bcu.gub.uy/Circulares/seggci1985.pdf

Banco Central del Uruguay, www.bcu.gub.uy, información regulatoria pública. Condiciones de uso: https://www.bcu.gub.uy/Paginas/Condiciones-de-uso.aspx. Cambios de finterlace: el texto se extrajo del PDF y se partió en artículos. No se cambió ninguna palabra del texto. Fuentes y licencias.

Quién lo cita

Los documentos que citan cada artículo los ve el nivel Suscriptor individual. Qué se ve con cada nivel

Qué normas se nombran con él

Qué normas nombran cada artículo las ve el nivel Suscriptor individual. Qué se ve con cada nivel

Versiones

El historial de cada artículo lo ve el nivel Suscriptor individual. Qué se ve con cada nivel