Resolución del Superintendente

Gaceta N° 181 – Viernes 17 de setiembre 2010

RESOLUCION SUGEF-R-007 DEL 21/07/2010

SUPERINTENDENCIA GENERAL

DE ENTIDADES FINANCIERAS

Resolución del Superintendente SUGEF-R-007-2010

SUGEF-R-007-2010.—Superintendencia General de Entidades Financieras.—Despacho de la Superintendencia General de Entidades Financieras, San Ana, a las catorce horas del 21 de julio de 2010.

Considerando que:

1. El Consejo Nacional de Supervisión del Sistema Financiero, mediante el Artículo 5 del acta de la sesión 853-2010 del 21 de mayo de 2010 aprobó varias modificaciones al Acuerdo SUGEF 14-09, “Reglamento sobre la Gestión de la Tecnología de Información”, vigentes a partir del 15 de junio de 2010.

2. De conformidad con el artículo 4, 10, 13 y 14 del Reglamento indicado, corresponde al Superintendente General de Entidades Financieras emitir los contenidos, la forma y medio de remisión del Perfil Tecnológico de las entidades, las condiciones para la ejecución e informe de la auditoría externa de TI y el formato de presentación del Plan Correctivo–Preventivo requerido por la SUGEF ante las debilidades identificadas en la evaluación de TI.

3. Según el Artículo 131, inciso b) de la Ley Orgánica del Banco Central de Costa Rica, Ley N° 7558, corresponde al Superintendente General de Entidades Financieras tomar las medidas necesarias para ejecutar los acuerdos del Consejo Nacional de Supervisión.

4. La experiencia en la aplicación del Reglamento ha evidenciado la necesidad de ajustar el Formulario del Perfil Tecnológico; dichos ajustes procuran minimizar la incidencia de errores en el llenado de las tablas de información. Asimismo, con el propósito de coadyuvar con el proceso de documentación de la ejecución de la auditoría de TI y el control de calidad de la información, se introducen mejoras a la Matriz de Calificación de la Gestión de TI.

Dispone:

Modificar la Resolución del Superintendente SUGEF-R-839-2009 Lineamientos Generales para la aplicación del Reglamento sobre la Gestión de la Tecnología de Información, Acuerdo SUGEF 14-09”, de conformidad con el texto que se adjunta.

Rige a partir de su comunicación.

Francisco Lay Solano, Superintendente General.—1 vez.—O. C. Nº 8794.—C-362300.—(IN2010074812).

A. FORMULARIO PERFIL TECNOLÓGICO

A.1 Descripción.

El formulario del Perfil Tecnológico está compuesto por dieciocho tablas con campos predefinidos para completar por parte de la entidad. Mediante una guía complementaria se establecen las pautas a efecto de facilitar su llenado.

La estructura de dicho formulario se presenta a continuación:

Número de tabla Detalle de la tabla

TABLA 1 Datos de identificación

TABLA 2 Procesos del marco para la gestión de TI

TABLA 3 Mapeo de procesos y subprocesos del negocio

TABLA 4 Organigrama(s) de la(s) entidad(es)

TABLA 5 Organigrama(s) de TI de la(s) entidad(es)

TABLA 6 Conformación del comité de TI

TABLA 7 Proveedores de TI

TABLA 8 Servicios de TI

TABLA 9 Inventario de tipos documentales

TABLA 10 Personal de TI

TABLA 11 Centros de cómputo (procesamiento y almacenamiento)

TABLA 12 Equipos de acceso, control físico y ambiental

TABLA 13 Inventario de equipo que soporta los servicios

TABLA 14 Sistemas de Información

TABLA 15 Software

TABLA 16 Proyectos de TI

TABLA 17 Planes de adquisición

TABLA 18 Servicios electrónicos

A.2 Plantilla del formulario

La SUGEF tendrá a disposición de las entidades un vínculo en su página WEB (www.sugef.fi.cr), mediante el cual las entidades pueden descargar el archivo electrónico del Formulario de Perfil Tecnológico y la guía complementaria. La ruta es la siguiente:

 Normativa/Normativa prudencial/Normativa vigente/ Acuerdo

SUGEF 14-09.

Alternativamente podrá utilizar las rutas siguientes:

 Perfil tecnológico

http://www.sugef.fi.cr/servicios/documentos/Normativa/

Reglamento%2014-09/SUGEF14-09-Reglamentacion.asp

 Guía complementaria para el perfil tecnológico

http://www.sugef.fi.cr/servicios/documentos/Normativa/

Reglamento%2014-09/SUGEF14-09-GuiasyManuales.asp

A.3 Mecanismo de remisión (medio y formato)

Las entidades deben remitir, en el formato liberado, la información del Perfil Tecnológico debidamente cumplimentada, en las fechas dispuestas conforme al Reglamento; para ello la entidad debe usar la aplicación SICVECA.

B. CONDICIONES PARA LA EJECUCIÓN E INFORME DE LA AUDITORÍA EXTERNA DE TI

B.1 Comunicación del alcance de la auditoría

El alcance de la auditoría será notificado a las entidades, según Artículos 11 y 12 del Reglamento. El comunicado del alcance de la auditoría incluye:

i. Explicación del alcance de auditoría basado en el marco referencial dispuesto en el artículo 9, los requerimientos generados del análisis del Perfil Tecnológico y otra información relacionada.

ii. Indicación para la descarga del archivo electrónico que contiene la “Matriz de Calificación de la Gestión de TI” con los procesos a evaluar.

iii. La fecha de remisión de los productos de la auditoría

B.2 Modalidad de la auditoría de TI

La auditoría consiste en obtener una conclusión sobre el cumplimiento de los objetivos de control y nivel de madurez asociados a cada proceso evaluado a partir de los requisitos establecidos por la versión 4.0 de CobiT. El trabajo ha de efectuarse en el contexto del marco dispuesto en el artículo 13 del Reglamento.

En lo concerniente a la expresión de la conclusión, esta puede emitirse de forma positiva o negativa según sea apropiado, respecto al cumplimiento de los objetivos de control y nivel de madurez para cada proceso evaluado.

El auditor debe brindar como producto de la auditoría:

i. Un Informe de auditoría con conclusiones.

ii. La Matriz de Calificación de la Gestión de TI debidamente cumplimentada.

iii. Una presentación de salida.

La ejecución de la auditoría externa de TI se rige por las guías y criterios profesionales que rigen en la materia, utilizando los “Estándares de TI, guías, herramientas y técnicas para auditoría, aseguramiento y control profesional” emitido por ISACA en el documento “IT Standards, Guidelines, and Tools and Techniques for Audit and Assurance and Control Professionals”.

La presentación de salida consistirá en una exposición ejecutiva del Informe, y debe efectuarse en un plazo no mayor a 5 días hábiles posteriores a la fecha de

...