SUPERINTENDENCIA

DE BANCOS

RESOLUCIÓN Nº SB-CGPyCG-2017-013
9 DE AGOSTO DE 2017

CELENE VARGAS JIMÉNEZ

COORDINADORA GENERAL DE PLANIFICACIÓN
Y CONTROL DE GESTIÓN

CONSIDERANDO:

QUE el artículo 213 de la Constitución de la República dispone que las

superintendencias son organismos técnicos de vigilancia, auditoria, intervención y
control de las actividades económicas, sociales, ambientales y de los servicios que
prestan las entidades públicas y privadas, con el propósito de que estas actividades y
servicios se sujeten al ordenamiento jurídico y atiendan al interés general;

QUE el articulo 277 de la Constitución de la República dispone que la administración

pública constituye un servicio a la colectividad que se rige por los principios de
eficacia, eficiencia, calidad, jerarquía, desconcentración, descentralización,
coordinación, participación, planificación, transparencia y evaluación;

QUE el Código Orgánico Monetario y Financiero fue publicado en el Segundo

Suplemento del Registro Oficial No. 332, de fecha 12 de septiembre de 2014;

QUE el articulo 60 del Código Orgánico Monetario y Financiero dispone que la

Superintendencia de Bancos efectuará la vigilancia, auditoria, intervención, control y
supervisión de las actividades financieras que ejercen las entidades públicas y
privadas del Sistema Financiero Nacional, con el propósito de que estas actividades se
sujeten al ordenamiento jurídico y atiendan al interés general;

QUE el numeral 3 del artículo 69 del Código ibídem dispone que, entre otras
funciones, el Superintendente de Bancos deberá dirigir, coordinar y supervisar la
gestión administrativa de la Superintendencia, para lo cual expedirá los reglamentos
internos correspondientes";

QUE el último inciso del artículo 71 del referido Código Orgánico establece que la
Superintendencia de Bancos para la formación y expresión de su voluntad política y
administrativa, no requiere el concurso de un ente distinto ni la aprobación de sus
act r parte de otros órganos o instituciones del Estado;
�
r

I
1 ºº"º' :.v 1,uoOctoh•• N2A-l8�yM•<lr1d. 1�t«l1>no,;¡02)7'197b00/19961 O<J www.�uporbanco:,[Link]

ªº"'''º /
Guayaquil¡ Cl11111b<>•·"º d P v Agv:rr•. t<lofono: {04) 370 �2 00
� @�up�rb,,ncosEC
Cuonca: lvno>1>00 10 y Prnslclonto CQrdovn. Tolóh>o1<1,: (0712113 59 61 f 283 57 26
Portov,ejoo c.11� Olmwdo v Al•i11•I• r..tMoflO>: (051 263 ,19 51 1 21>J 58 10 I] ()•1í'�rintrod-i'"n1'"1<1 dr l-toncti!'i
 SUPERINTENDENCIA
DE BANCOS

Resolución N ° SB-CGPyCG-2017-013
Página 2

QUE mediante resolución No. ADM-2013-11484 de 15 de abril del 2013, se expidió la

reforma al Estatuto Orgánico de Gestión Organizacional por Procesos de la
Superintendencia de Bancos. el cual fue ratificado mediante resolución No. ADM-
2014-809 de 15 de septiembre de 2014; y reformado mediante resolución No. SB­
CGPyCG-2017-005 de 23 de marzo de 2017;

QUE el capítulo II del Estatuto Orgánico de Gestión Organizacional por Procesos,

establece como uno de los procesos a cargo de la Coordinación General de
Planificación y Control de Gestión, la definición de metodologías para el mejoramiento
de los procesos institucionales;

QUE mediante resolución No. SB-2015-434 de 2 de junio de 2015, el señor

Superintendente de Bancos, delegó al Coordinador General de Planificación y Control
de Gestión, la suscripción de reglamentos, manuales, instructivos y metodologías; de
acuerdo a la Resolución No. ADM-2013-11598 de 6 de junio de 2013;

QUE manteniendo las buenas prácticas dispuestas en la Norma ISO 22301, y

considerando como prioritaria la seguridad y protección de las personas, ante un
evento de riesgo o desastre es de suma importancia determinar estrategias que
permitan garantizar la vida humana;

QUE siguiendo con las buenas prácticas dispuestas en la citada Norma ISO, es
importante mantener planes de continuidad del negocio, con estrategias oportunas
para garantizar operatividad y recuperación oportuna de las actividades, en el menor
tiempo e impacto posible;

QUE es de importancia para la Superintendencia de Bancos, mantener la continuidad

de sus procesos, funciones y servicios críticos, por lo cual ha desarrollado la
metodología para la Gestión de Continuidad del Negocio como base para el
levantamiento del Plan de Continuidad del Negocio Institucional;

QUE mediante memorando Nro. SB-CP-2017-0158-M, la Coordinadora General de

Planificación y Control de Gestión, propuso la expedición de la Metodología de
elaboración del Plan de Continuidad del Negocio, de acuerdo al formato establecido en
la resolución No. ADM-2013-11598 de 6 de junio de 2013; y,

En rcicio de sus atribuciones legales,

i

1 0.. 1to Av 12 "" 0,1,,b,e N2�-1�5 y M1,d11d íul•I<>•"'' 11)1: 'i'l'J /1, OIJ/ 20? /,1 l�I www.:uporbanco:.[Link]
Gu ,y,1t1u1t. C:11. 11ti1..u.1tu 41/ ) Agut,,,, rofc,íoor,. (CM) J/0 .12 í)()
Q O�uJ>UtlUtt\(..11-.l:.f

E
C\Ji ori<J¡ A1non1(\ Ro11r-10 7l0y -Prf'lr,:tJ"''''' Ct.),ijt,110 1ttl&fono$:. \U7> l83 SV h1 J '2S3 !:tl ló
Pon:ovi -, ¡o l •"• C>lro�do.., Al�111vl, 1 ttl�tonus ms, 261 ·IQ !t1 I ?63 �8 10 I SLJp�nnt.ftl1Ü4'f!llM U..- lli;¡ncos
 SUPERTNTENDENCIA
DE BANCOS
°
Resolución N SB-CGPyCG-2017-013
Página 3

RESUELVE:

Artículo 1.- Expedir la metodología de elaboración del Plan de Continuidad del

Negocio de la Superintendencia de Bancos y sus correspondientes anexos que forman
parte integrante de esta resolución.

METODOLOGÍA DE ELABORACIÓN DEL PLAN DE CONTINUIDAD DEL NEGOCIO

CAPÍTULO I

1.1 Justificación.- La metodología implementada para el Plan de Continuidad del

Negocio permite mantener la continuidad de los procesos, productos y servicios
críticos ante un evento de desastre con la menor interrupción e impacto posible
mediante un marco de acción y procesos documentados para que la
Superintendencia de Bancos pueda reiniciar todos sus procesos de negocio dentro
de sus Objetivos de Tiempos de Recuperación.

Los beneficios de implementar un Plan de Continuidad del Negocio en la institución

son:

• Identificar los eventos probables e impactos a la continuidad de las

operaciones.
• Dimensionar los recursos mínimos necesarios para mantener la continuidad y
recuperar las operaciones a la normalidad ante un evento.
• Identificar los procesos y servicios críticos de la institución en pro de mantener
la continuidad y operatividad.
• Evaluar los riesgos asociados a la continuidad del negocio e identificar
alternativas y estrategias a fin de mantener la operatividad de la institución
ante la ocurrencia de un evento.
• Disponer de un plan logístico de rápida actuación y respuesta al surgir un
evento que impacte a la operatividad de la Superintendencia de Bancos.

1.2 Objeto.- Aplicar la Metodología para el Desarrollo del Plan de Continuidad del
Negocio para determinar los lineamientos, identificar procesos, productos y
servicios críticos institucionales con base al Análisis de Impacto al Negocio (BIA);
modelar el plan de comunicación institucional y efectuar pruebas del Plan de
Continuidad del Negocio.

1.3 Alcance.- La Metodología para el Desarrollo del Plan de Continuidad del Negocio
comprende el levantamiento y documentación de los parámetros y lineamientos
f

I Outto A, IL •� •.101111>, .. NJ,, 1�� ¡ M•drtd, l •t�1.,,.o,.1U2) 29? 71100 /29? 61 00

Gu,-,yolqo,I r·h,mho1,)flO 11;, V l\ n,mro. rotnfono. (04} 310 41 ()t)
CuoncJ: Amo,t,o [Link],rn 710 y Prclld<.\nto Có1cfow1. f oló[Link]..,.: (07) 283 59 61 / 28::I 5/ 26
Pcotnvi•10 i "11• Olmodo y Alsju•I� T�t�lono>: (OSI 2nJ 4'1 � 1 1 .16� !18 10
I www.:uporbanco;.[Link]

Q
(j
G>supc,banto>EC

Supr-, tmc11dori1..1 it de! 8110•.<•s

 SUPERINTENDENCIA
DE BANCOS
º
Resolución N SB-CGPyCG-2017-013
Página 5

Crisis: Ocurrencia o percepción que amenaza las operaciones, personal, reputación,

confianza, y/o cualquier riesgo estratégico no mitigado que afecte los objetivos del
negocio.

Dark site (Sitio oscuro): Sitio web alterno, en línea únicamente en eventos de crisis,
cuyo fin es evitar el deterioro de la imagen y reputación de la Institución, así como el
acceso a información importante sobre el evento, repositorio de información crítica.

Desastre: Evento catastrófico, repentino no planeado que causa daños o pérdidas

irreparables, el cual compromete la disponibilidad de los procesos o servicios
principales por un periodo de tiempo de manera no aceptable.

Evento: Suceso o serie de sucesos internos o externos a la institución, originados por

la misma causa, que ocurren durante el mismo período de tiempo.

Grupos de interés: Personas o unidades administrativas que se ven impactadas por

la_s operaciones de una empresa. Ejemplos: Socios del negocio, empleados,
proveedores, accionistas, entidades gubernamentales, entre otros.

Infraestructura como servicio (IAAS - lnfraestructure as a service): Es un modelo

de distribución de infraestructura de computación como un servicio, normalmente es
mediante una plataforma de virtualización. En vez de adquirir servidores, espacio en
un centro de datos o equipamiento de redes, los clientes compran todos estos
recursos a un proveedor de servicios externo.

Información: Cualquier forma de registro electrónico, óptico, magnético o en otros

medios, susceptible de ser procesada, distribuida y almacenada.

Período máximo tolerable (MTD): Consiste en el espacio de tiempo durante el cual

un proceso puede estar inoperante hasta que la Institución empiece a tener pérdidas y
paralice completamente sus actividades.

Plan de Contingencia: Conjunto de procedimientos alternativos a la operatividad

normal de la Superintendencia de Bancos, cuya finalidad se basa en la minimización
del impacto en su operación, producto de la presencia de un evento no deseado que
cause la no disponibilidad de los sistemas de información o la interrupción de los
procesos del negocio.

Plan de Continuidad del Negocio - PCN: Conjunto de acciones a ser llevadas a

ca¡ orno respuesta a distintos escenarios de desastres que pudieran afectar la
�

I I
Ouóto: Ao 1Zd� 0.:\.,m• Nlll, 185 yM<+<ltid. [Link] (02) 2?9 71., 00 / 29Q 61 ()O www.:up4rbanco,.[Link]
Gu,,yAquil: Chimbo,a,o 417 y l\gyir,e, TolMono: (04) 370 42 00
L:1 e�ui:io,[Link](C

E
Cuonc>: An101111> 601.-10 710 y f',�slJonto Có,dovv. Trlófonns: \07) 283 5Y 61/211:15776
Portovil!!!JO� r·�n� OlnH1do y Al dJIIYll'I, ,..1.!fQno,: (Of>) ló3 J9 �, l 2l,:.l �,.. 10 Supor,mfJOdt•nc.:;., dt! 8,tnco,
 SUPERINTENDENCIA
DE BANCOS

Resolución N ° SB-CGPyCG-2017-013
Página 7

CAPÍTULO II

2.1 Base Metodológica:

La definición de la metodología se hace en base del ciclo Deming, propuesto por la

Norma ISO 22301 :2012 Ver. Ilustración 1.

Ilustración 1 - Ciclo Deming

• No conformidades
•Contexto y e�trategJ� de I&
•Acdonr-s Corrt':ctlvas
[Link]ón.
•Pl..:tnesde Mejor�
•Liderazgo
• Polltlca de Continuidad del
[Link]
• Riesgos del Negocio

• Avd1torl.11ntttna An611sls. del lmp3cto al

Negocio.
•Evaluación de Riesgos.
•Estrat�gl,11 de la Contlnuídad
del Nceoclo.

1
•Prcxedln,k:nlo.s de
Continuidad
•Pruebas de Continuidad
\.
Fuente: ISO 22301:2012

2.2 ETAPA 1 - PLAN.-

El objetivo de la fase es establecer los métodos y las fuentes para la recopilación

de información que sustenta el Plan de Continuidad del Negocio.

2.2.1 Métodos y fuentes para la recopilación de información para el desarrollo

del Plan de Continuidad del Negocio.

1. Definir el medio de recolección de información:

Encuesta: para recopilar información diversa que no requiera un nivel alto

de confiabilidad.

f
I I
Quito: Av 12 de Oct<0b•@ N2A-185 y M•d1icJ. Taleí,>110.: (02) !.'/� 7o 00 / 299 61 00 www.:uporbanco:.[Link]
Guay.,quil. Chimbo,.ui, J 12 y Aguirre. Telófono: 104131042 00
Cuonc.1: Anlooio SmrNo 710 y Pro�1dN\lC Cordolin 1 ..•IOfonos: l07} 283 59 61 1283 57 26
(g @[Link]>[Link]

Ponoviejo; 1·nllr 01motfo '! [Link]!la. r elironO"I: (O�) 263 49 51 J 263 S8 10 (j Supcriotcndcnc,., de- Banc<•!\
 SUPERJNTENOENCJA
DE BANCOS

Resolución N ° SB-CGPyCG-2017-013
Página 9

Las preguntas iniciales con las que inicia la definición del Análisis del Impacto del
Negocio (BIA) deben ser:

1. ¿ Cuáles son las actividades más importantes para la Superintendencia de

Bancos?
2. ¿ Cuál sería la capacidad operativa de la Superintendencia de Bancos a medida
que pasa el tiempo sin reanudar los servicios afectados?
3. ¿Qué haríamos sino existe un área de trabajo u oficina alterna?
4. ¿Qué haríamos si no existe factibilidad de operar?
5. ¿Si el sitio afectado se vuelve inaccesible producto del evento ocurrido?
6. ¿Qué pasos seguimos cuando el sitio esté accesible, qué restauramos
primero?
7. ¿ Qué hacemos si no contamos con el personal clave?

2.3.1 Análisis de Impacto

La Ilustración 2, determina las etapas a cubrir en la definición de la Fase -

Análisis de Impacto al Negocio - BIA

Ilustración 2 - Etapas del Análisis del Impacto

3. tdentificacló� de
Procesos Críticos I

'

8. Identificación de
Procedimientos
Álternos

I I
Qu;,o 4.. , ,_.., r1, """� N24-185 y M.tl11d. T ..l�fono,: 102) 299 76 00 / 299 61 00 www.�uporbanco:.[Link]
Gu.,y.,qu;I, Clumbn,aw 412 y Agu,u�. Telefono: (04) JIO 42 00
CsJ (hupt.•rbitncosEC

E
Cuonc.1; Amorno 8<.>fflHO 710 y Pr('..sfdanto Córdov.1. Tol�fooo,-:.(07) 283 59 t,l / 293 57 26
Portovlejo:. Call� Olm+1do v AJ.11juel.J, T�ófono\-: fOS) 263 119 S l / 263 58 10 Sup,,.,ím�nd"'OL'"*"' rl� ll;mooA
 SUPERINTENDENCIA
DE BANCOS

Resolución N ° SB-CGPyCG-2017-013
Página 11

[Link] Evaluación de los Impactos Financieros y operacionales

Insumo: "Listado de Funciones y Procesos del Negocio''

Salida: Análisis de Impactos Financieros y Operacionales

[Link].1 Impacto Financiero (Se describe el procedimiento, pero al mantener una

estructura organizacional diferente al ser institución pública su aplicabilidad
no se ejecutará).

Procedimiento:

i. El Comité de Continuidad del Negocio, determina los rangos de

magnitud de pérdida financiera en dólares y niveles de severidad
para cada uno. Ref.: Tabla 2, ejemplo de determinación de rangos
de magnitud-severidad

Tabla 2 Rango de Pérdidas en Dólares (ejemplo)

NIVEL RANGO (DÓLARES) SEVERIDAD

o o o
1 $1,066 Menor
2 >1,066 $10,656 Intermedio
3 >10,656 $42,638 Mayor
4 >42,638 $74,616 Severo
5 >74,616 Catastrófico

ii. El responsable del proceso de cada unidad administrativa, asigna la

magnitud de pérdidas y severidad a cada uno de los procesos y
funciones determinadas en el literal [Link].1 "Listado de
Funciones y Procesos del Negocio". Ref.: Tabla 3.

Tabla 3 Impactos Financieros y Niveles de Severidad

Función del Proceso del Magnitud de Nivel de

Negocio Negocio Pérdida Financiera Severidad
(diaria)
Coordinación Rendición de $1,250 2
de Cuentas
Planificación
y Control de
Gestión

f
I Ou,10 t.v 12 c.190ct<tbl@ N2,1.t8S y Mo<l1�I. lelófnno,: (02) 2'19 7o ()O/ 299 61 00
Gu,,y.,qu,h \ htmho•o.,<J � 1? y Ag111110. lololo,io: (O�) 370 ·12 00
Cuonu: l\n1on,o 8or1010 710 y P10,ldo111e C6,dovo. Tolófnnoo: ¡07) 283 59 ó1 / 28J 57 26
P<>rtov1•jo: l.:,111� Olm•du y Al•í11•lo. T•lelon011: (11�) 2ó:14? �1 l 26J 58 10
I [Link];.[Link]

� @-!.upc1b.:1ncoiEC

E Supc-rintendencit1 de Ba-ncoi
 SUPERI NTENDE,NCIA
DE BANCOS

Resolución Nº SB-CGPyCG-2017-013
Página 13

ii. El responsable del proceso de cada unidad administrativa mediante

el listado "Identificación de Funciones - Unidades Administrativas y
Procesos del Negocio", asigna la tasación respectiva a los factores
identificados, según el impacto operacional Ref. Tabla 4., el ejemplo
de clasificación del impacto operacional se hace referencia en la
tabla 5.

Tabla 5 Clasificación del Impacto Operacional

CLASIFICACIÓN DEL IMPACTO

Unidad
OPERACIONAL
Administrativ Proceso
a Imagen Legal Confianza Criticidad
Corporativa del Cliente
Visita
INSFPr 4 5 5 3
Inspección
DNA Proceso de 2 4 1 2
Compras
Públicas

[Link] Identificación de Procesos Críticos

Insumo: Análisis de Impactos Financieros y Operacionales

Salida: Listado de Unidades Administrativas y Procesos Críticos del
Negocio.

Procedimiento:

Definir los procesos críticos, considerando la tasación de impactos

negativos definidos en los literales anteriores Ref.5:

i. Si el impacto operacional se clasifica "alta" en por lo menos 3

factores.
ii. Si el impacto operacional se clasifica en por lo menos 2
"altas" y una "crítica".
iii. Si el impacto operacional se clasifica como "crítica" en al
menos 2 de sus factores.
Ref.: Tabla 6 ejemplo de identificación de procesos y

I·
jerarquización.

I Qu,10: tw 1 l on O,rub<e N24-1S5 y Mad,id. r..tltlo..o..: \02) N9 7b 00 / 299 61 00

GY,1y.,quil. (".,,•,nbCl1ul.O 417 y A quntP. f plP1ono· tOd} ,lJ(l 1' íl()
Cuo,ic;,r Anlo,,i<, Sorre,,o 710 )' P1c-s1d1mtq Córdovo1. Tol¿fonos.:- (07) 283 59 011283 57 26
Ponov,ejo; t" .11� Olrn�<h y Al•¡11ela folófono" ((15) 263 49 51/26358 10
I www.:uporbanco:.[Link]

g
I]
\J�upo,bo>[Link]

SupPrintPndt>ncia. d� lt1mco.\
 [Link]
DE BANCOS

Resolución N ° SB-CGPyCG-2017-013
Página 15

La ilustración 3 determina la Clasificación de Recursos Tecnológicos:

Ilustración 3 Clasificación de Recursos Tecnológicos

El responsable del proceso en cada unidad administrativa, debe identificar

/º� Recursos Tecnológicos, para cada proceso critico, Ref.: Tabla 7.

I
I
Quito: Av 11 o• Oclubro N2d-18S y M.d,id. Telefono,: (02) 'l'l9 76 00 / 299 61 00 www.•uporbanco:.[Link]
Gu,,y-'quif: Chrmhor;,uo d \:, y Aouir,, , , TelMono: (04) 370 42 00
� Qsopurb¿rnco.,.EC
Cuonc.>: Anton•o Bou oro 710 y P1osódv<>lo Córdovo. Tolólonos: (07¡ 283 59 61 / 283 5 7 26
Ponoviejo: C•lle Otm9do y Al•iu�t. T,.,t.;fono,: (05) 263 49 51 / 263 58 10 (j Supcríntendenci" dP 6.'inC'O.$
 SUPERINTENDENCIA
DE BANCOS

Resolución N ° SB-CGPyCG-2017-013
Página 17
Recursos No-Tecnológicos

Insumo: Listado de Unidades Administrativas y Procesos Críticos del

Negocio.
Salida: Listado de Recursos No Tecnológicos Críticos.

La ilustración 4 comprende una clasificación de recursos no tecnológicos:

Ilustración 4 Clasificación de Recursos No-Tecnológicos

.
"
-

Una vez definidos los recursos tecnológicos el responsable del Proceso en

'. ----..

..
¡.- .. .
,.•
. 4
'

cada unidad administrativa se procede con el levantamiento de los recursos

no-tecnológicos, asociados a los procesos críticos. Ref.: Tabla 8, ejemplo
de "Listado de Recursos No Tecnológicos Críticos".

Tabla 8 Listado de Recursos no Tecnológicos Críticos

Unidad Proceso RECURSOS NO-TECNOLÓGICOS

Administrati s . Detalle del
va Críticos Recurso Tipo
recurso
INSFPR Sup. Reporte Activo de Reporte utilizado
Extra GREC lnformació para medir el
Situ n cumplimiento de
observaciones
realizadas en la
auditoría.

I I
Ou,to: Av 1/ de ()<1,1h,� N2,1 185 y M.J,,(J. TulMrl�o.:10i) 'l99 76 00/ 299 61 00 www.:uporbanco:.[Link]
Gu.,y.,quil: <:ho11br11:u:o 411 y Al'] ui,,-,, 1 Pf�f0t1C>· IO..J) .170 d: J 0'11
@sup1_\,b�1,c.o:.EC
Cu�nc.,. Ant�·r,11..• BvuNo /10 y !J1c-)1donti;o Córdovn. T"'lófo1los: (07} 283 59 61 / 28.J 57 26
Po,,ov,.jo: c ..11� 01... .,,Jo y Al.¡11�1•. TPléfono,: (OS) 263 J9 51/76358 10 I] SupP1intrnd11nc:;,-, º"" Uronro>
 SUPERLNTENDENCTA
DE BANCOS

Resolución N º SB-CGPyCG-2017-013
Página 19

Tabla 9 Prioridades de Recuperación de Procesos Críticos

Funciones Procesos MTD Priorización

Críticas del Críticos del
negocio Negocio
INSFP Sup. Extra Situ 13 horas 2
DNAEU Atención al 2 horas 1
usuario

[Link] Definición del RTO

El objetivo de esta fase será la de definir los tiempos requeridos para

recuperar o restablecer los sistemas a un estado de operación normal.

Insumo: Listado de Unidades Administrativas y Procesos Críticos del

Negocio Priorización de Recuperación de Procesos y Unidades
Administrativas Críticas del Negocio.
Salida: Definición de RTO y WRT de Procesos y Funciones Críticos del
Negocio.

Procedimiento:
El Tiempo Máximo de Recuperación está definido por:

MTD = RTO + WRT

El responsable de la Coordinación General de Tecnología, conjuntamente

con los responsables de los procesos de cada unidad administrativa, define
el Tiempo Objetivo de Recuperación (RTO) y el Tiempo máximo de
Recuperación (WRT) considerándose este último el tiempo destinado para
la recuperación de información pérdida, trabajo amontonado, Carga manual
a sistemas o recursos luego de ser recuperados.

La tabla 1 O, considera el formato de levantamiento del cálculo del MTD,

!RTyRTO.

I I
Quito: lw 17 J., Ott,,bro N2·1-185 y M•J,:d. T�léfonos:102) 2'19 1& 0-0 / 29<161 00 www.,ouporbanco:.[Link]
Ga,,y.,quil: o ..mbo• •.., d 12 y A90,1M. í ol<lfono: (O•I 310 42 00
Cuonc.,: An\on•o BntrNO 710 y Pro,idonte Córdov•. Telolono.: 1071283 59 ól / 283 57 26
© O<..oporba11cosEC

Ponovi•jo; c.11., Olm�<lo y Al•jwl•. Td•lono,. (O',) i<i3 �·¡ �1 / 263 �R lO () �up,.11ntpncfPnC'fil rlf' Or1nr,1,
 SUPERINTENDENCIA
DE BANCOS

Resolución N º SB-CGPyCG-2017-013
Página 21

ii. Proceso crítico que necesariamente debe estimarse recursos

tecnológicos para su funcionamiento, lo cual se estimará como parte
de las estrategias, asignándoles mayor peso en la priorización de
recuperación.

El responsable de cada unidad administrativa debe determinar los procesos

que podrían ser ejecutados de forma manual durante el evento que afecta a
la continuidad del negocio.

Insumo: Listado de Unidades Administrativas y Procesos Críticos del

Negocio Priorización de Recuperación de Procesos y Unidades
Administrativas Críticas del Negocio, Definición de RTO, Definición del
RPO.
Salida: Identificación de Procedimientos Alternos.
[Link] Generación del Informe BIA (Análisis del Impacto al Negocio)

El objetivo de esta fase será la de definir el formato de Informe BIA

institucional, por tal motivo el mismo contendrá:

í. Listado de Procesos y Unidades Administrativas criticas

identificadas.
ii. Listado de Recursos Tecnológicos y No Tecnológicos Críticos
asociados a los procesos críticos.
iii. Listado de MTD, RTO, WRT, RPO.
iv. Identificación de Procedimientos Alternos aplicables.

2.3.2 Evaluación de Gestión de Riesgos

El objetivo de la fase, será la de identificar las vulnerabilidades, amenazas, así

como identificar los posibles escenarios de riesgos escenarios. con la finalidad
de gestionarlos oportunamente.

Los responsables de los procesos de cada unidad administrativa deben

determinar los riesgos que podrían afectar a la operatividad de los procesos a
su cargo.

Insumos: Informe BIA

Salida: Análisis y Gestión de Riesgos de Continuidad
Procedimiento:

Con los activos definidos en el Informe BIA, se procede a identificar y

clasificar las amenazas, capaces de afectar a la continuidad del

I
negocio, para lo cual se ejecutan las siguientes actividades:

I
Ov,1.0. ,\y it .Je· Ot..h1b,� N2A. tn5 .., [Link].!rid Trl..,f,,.--,v, O;.>)?Q9 7ó 00 ! ?'I? f.1 00 www.:uporbanco:.[Link]
Gu.-[Link]: C:h1mh<"H!\lO 411 v AIJUUtff. lalofono: (04) .HD 12 00
Cuonc.>1 ""'°"' º 8c.-i,,.1n /1(' y P,(t<idnnt ' Co1dov;, To,ofo,�,· \Ot, t83 $9�1128.J 57 26
bJ e.$lJpNbno<;OiEC
(
Portovi•jo: r.,11., Olrnu,fo V Al•J11vl>, T�loltJnot: 105¡ 163 4'151 l ;>�J �B 10 I 1) 5Hpodl\16od!'>IHJ,t <lo 8oaCul\
 SUPERINTENDENClA
DE BANCOS

Resolución N ° SB-CGPyCG-2017-013
Página 23

Tabla 13 Listado de Vulnerabilidad vs Amenazas

Nombre del
Identificación
Activo de Tipo Vulnerabilidad Amenaza
del Activo
Información
Acceso no
Ausencia de
autorizado a
Informe mecanismos de
DR_001 Software información por
GREC identificación,
no separación
autenticación
de sesiones.
Incumplimiento
de plazos de
Ausencia o
entrega de
Informe de desconocimiento de
DR 002 productos y
Supervisión Personal Personal en
servicios,
ln-Situ actividades
repercusión
requeridas
reputacional.
Legal
No se cuenta con
Pérdida total o
Daño aspersores de agua
Edificio parcial del
DNA_003 Físico/incen para apagar
Matriz edificio.
dio incendios en caso de
suscitarse.

Determinar la Probabilidad y el Impacto del Riesgo.

a. Probabilidad:

i. Se mide la certeza de que ocurra un evento a causa de una

amenaza y una vulnerabilidad.
ii. La escala de evaluación será Likert de 5 niveles
considerando, 1 Nivel Raro o escaso y 5 para casi seguro.
iii. Los criterios consideran las preguntas: ¿Cada cuánto se
presenta un evento? ¿Cuál es la probabilidad de que ocurra
en un periodo determinado?
iv. La tabla 14, identifica los criterios a utilizarse para la
determinación de la probabilidad, en la tabla 15 se define un
ejemplo de determinación de probabilidad.

/·
1 ª""º' Av 12 d� 0<1ub1A N24-18S y M•d1icl. Tolélono1: (02) 299 76 00 / 29'1 61 00 I www.•uporbanco:.[Link]
Guay•quil Chimb0t•zo 412 y Agu,rrn. Tel�fom,: I04J 3/0 d? 00
Cuon<a: /\ninnio Borrnro 710 y P,osioofl\O Có1dov�. Tclófonos: (07/293 5961/28357 26
Q @Stipu,b..ult:O!l-EC
Po,toYlejo l . .,.u,.. Olrnario y Al,il,JOt-ltl. r...1,rooo,:; {05l 263 '1</ 51 126.J sa 10 (j Sune1 iuumdoncid d.,. Uiutro•
 SUPERINTENDENCTA
OE BANCOS
Resolución N º SB-CGPyCG-2017-013
Página 25

b. Impacto:

� Tasar el impacto mediante una escala Likert de 5 niveles siendo

1 un impacto insignificante y 5 un impacto crítico. Ref. Tabla 16.
> Determinación de las consecuencias producto del evento.
> Análisis de factores internos y externos, el impacto será el
promedio de la suma de dichos factores.
> La tabla 17, muestra un ejemplo de aplicación de la evaluación
¡[Link].

I I
[Link]· Av 12 rlu Ottub,o N2·1, 18S y Madrid. T�lelo110,c 102) ?99 71> 001299 61 00 www.:uporbanco:.[Link]
G1rny,,quil. C1111t1bcu1tc.o 11 l? y Agunm, T Plif,fonot (Od) 370 42 00
(g @$[Link].J,[Link].C

E
Cuon<o1: Ar,tonJo 8ou1>10 710 y Pnnid<:'oto CórdO\lo T"lótouos: (07> 283 59 ól / 283 S/ 26
Ponoviojo; Callu 01,..�do y Ala¡u�I, T•lefo,10, (V�P63 J'I 51 / ?63 511 lÓ Suj:h)IHHrnHJ••ncia dtt Br1,1t'<•,
 SUPERJNTENDENCI/\
DE BANCOS
)11/•iA ,, --4:f.;J,,'(J

Resolución Nº SB-CGPyCG-2017-013
Página 27

Tabla 17 Ejemplo Determinación del Impacto

DNA_003 1 Daño
I
No se cuenta Pérdida total o 15 1s 1s 13 IS l 4.6- 5
Físico con aspersores parcial del
de agua para edificio.
apagar
incendios en
caso de

DR_002 I Personal I suscitarse.

Ausencia o
desconocimient
lncumplimient 13
o en los
12 14 14 13 13

o de Personal parámetros de
en actividades generación de
requeridas información,
información no
tiene validez.
Riesgo
reputacional,
Legal

I
Quito: Av 12 "'' O•tut.,., N2�·18S � M•doict. T.>IM�uo,: !02J ?'19 ]!, f • J 299 61 00 www.:up•rbanco:.gob.•c
Gu•y•9uil: Ch·n;bo, ,,w ,111 y A<1ui,r• T•ldlono \OJJ 370 ,12 00
X

I I ;:. th.(ji, l•,nan"'sEC

Cuonc-.11, Anlor1,c, Bnop,·c '10 y Pré�deorn C()[Link] Tel�ÍOO')I. {0]1 ::"83 59 (,l I ?RJ S7 26
Porlov,�Jº· C.�!J.. 0111,..,d,, v Ali1uuld. Joletono, (05) 263 .t? 51 i 26.3 58 10 11 d,_, Ehnc.o;
'S·.JJ�'H\tcod.. "11cJ,.
 SUPERINTENDENCIA
DE BANCOS

Resolución N ° SB-CGPyCG-2017-013
Página 29

e. Definir los Métodos de Tratamiento del Riesgo:

i. Evitar: Implementación de controles para riesgos

identificados como alto o críticos.
ii. Reducir/Mitigar: Implementar controles o salvaguardas para
minimizar la probabilidad y el impacto de un riesgo
identificado.
iii. Transferir: Contratar empresas especializadas en el control
y tratamiento del riesgo.
iv. Aceptar: únicamente se mantiene un monitoreo permanente
de riesgos bajos.

Tabla 19 Métodos para el tratamiento de Riesgos

Método de Características
tratamiento
Evitar el Riesgo -Costo de implementación Alto.
-Cambios en procesos, actividades u operaciones críticas.
Reducir I Mitigar Implementar controles, salvaguardas, para reducir la
probabilidad o el impacto ejemplo: Controles ISO 27002
Transferir el riesgo Contratar aseguradoras, póliza, tratamiento de riesgos.
Retener o aceptar -Riesgos bajos, que requieren únicamente de monitoreo.

f. Evaluación e Identificación de Controles

> Determinación de la eficiencia y suficiencia del control a través

de la verificación del cumplimiento de los siguientes parámetros:
Y Documentado: Diseño del control por escrito.
> Autorizado: Aprobado y respaldado por la Dirección, divulgación
por medios de comunicación oficial.
> Evidencias de cumplimiento: Registros de ejecución del control.
>- Aplicación consistente: aplicación permanente y sin

t
interrupciones.
>- Efectivo: Tiene efectividad para la amenaza y vulnerabilidades
derivadas/Disminuye la probabilidad de ocurrencia o el nivel del
impacto.

I I
Ou,to. Av 17 ,,,. 0c1u,... , tl}.\.f�� y M,(l.,t,1, lolef<,.,�1 cOi) 2Q'f /h00/ 29'11l\ 00 www.:uporbanco:.[Link]
Gu.,y.,qull n,,mhnrMo 412 y At.)Ulffft, Tel�fO('o, (o,\) 370 rl"J Od
Q Qls"pe,bon<:o,EC

IJ
Cuonc..i: 1'1,tn..H, Am,f.:'•'> 71(1 y V1<'[Link] Có,dovA, folólonc,t: (0717.8359 611283 57 20
Portov,ojo: I" ,11,. Oln,e,lo y Al•J""'• T,Mon<»: (05) 263 4? 511263 50 10 Sup(}11ot.n1,<Jt1flc:i<t rit.• B"'u",1\
 SUPERINTENDENCIA
DE BANCOS

Resolución N º SB-CGPyCG-2017-013
Página 33

No hacer Nada: funciones o procesos no urgentes determinados en el BIA,

"Se asume el Riesgo''
Utilización de Espacio Propios: Definir continuidad de operaciones en
edificaciones propias no afectadas.
Reutilización de recursos: Utilización de recursos de procesos o funciones
durante el periodo de crisis.
Trabajo Remoto/Teletrabajo: Acceso remoto desde sitios seguros del
personal requerido.
Acuerdos con entes externos: Convenios o contratos para uso de oficinas.
Sitio Alterno o Subcontrato con terceros: Alquiler de oficinas, Centros de
Datos para recuperación de procesos o funciones críticas.

>- Espacio Dedicado: Uso exclusivo, disponibilidad inmediata, mayor

costo.
>"' Espacio Compartido: uso compartido, disponibilidad según
requerimiento, menor costo que el anterior.
� Espacios móviles: Utilización inmediata, espacio limitado.
� Módulos Prefabricados: Disponibilidad en días para su uso.
� Localizaciones diversas: Traslado de operación, no de personal.
� Centro Replicado: Centro espejo, costos altos, disponibilidad
inmediata.

Tabla 24 Ejemplo de Estrategias de Recuperación

Recurso Objetivo Estrategias de Recuperación

Crítico
Personas que - Documentar actividades críticas que se realizan
Mantener el
participan en en el/los proceso(s) críticos
conocimiento y
las actividades - Delegación de funciones y responsabilidades
capacidades del
del Negocio en periodos de recuperación (TI, Negocio,
personal con
Equipos de Recuperación, etc.).
funciones y
- Mantener personal con conocimientos del
responsabilidades
proceso como back-up de no encontrarse la
en actividades
persona principal.
criticas
- Separación adecuada de tareas claves.
- Capacitación de la persona back-up, en caso
de no encontrarse.
Instalaciones y Reducir el impacto -Instalaciones Alternativas.
puestos de de indisponibilidad -Acuerdos con empresas públicas para uso de
trabajo de las instalaciones sus instalaciones.
de trabajo - Contratación de Oficinas en edificios, hoteles,
etc.
- Teletrabajo en actividades y procesos crítícos

1 �. !:. · •. . "'"'"' """"' ,"'"'"·,.. ... . , . '" "

Gu,.y,,quil: f. uml: 11111•> 11 ·> y l\ouilru, lel'4fono: m..1J 370 41 OU
00 "" O' 00

Coonc.,: ''"'""'"' 8,,11,..11'\ 710 y Prr�,[Link] Cordova, foletom>\: \1)11:/8359 01/./8357 20

I www.:uporbanco:.[Link]

&J @supo,banu,aEC
Port.o11i•¡o . •11• OlmtJJ<> y Al•11,�1, r�l�loao>. (05) ?�3 �',I 5 l I 263 58 lú I] s,,p,.[Link],1 fip 1Jr111c1"
 SUPERíNTENDENCTA
DE BANCOS

Resolución N ° SB-CGPyCG-2017-013
Página 35

Infraestructura, respaldos, aplicaciones,

replicación, redundancia de enlaces, equipos de
redes y comunicaciones, en proveedor.
- Almacenamiento de información impresa en el
proveedor.
- Almacenamiento de backups cintas, discos, etc.
Clientes Mantener servicios - Mecanismos TI y no TI de atención, recepción
Internos y con Clientes en de documentos, entrega, solicitud, de
1,
externos periodo de información, etc.
recuperación - Comunicación de Eventos, clientes, empleados
y prensa de ser el caso.
SeNicios Garantizar que el - Capacitación constante en Planes de
Civiles de personal conoce Evacuación del Edificio.
Emergencia los procesos y - Simulacros.
procedimientos de - Árbol de Llamadas a Bomberos, Policía, etc.
los seNicios de
emergencia
Movilización Logística para la - Personal de Movilización encargado de recoger
personal y movilización del y llevar al personal clave al sitio de contingencia.
recursos claves personal clave - Personal de Movilización encargado de llevar al
necesario y los personal encargado de retirar back-ups de lugar
recursos de almacenaje, etc.
adicionales
requeridos
Comunicación Mecanismos para - Definición de los responsables y mecanismos
con la Prensa y minimizar el de comunicación.
clientes claves impacto sobre la - Definición del responsable y del llenado de
imagen Institucional Plantillas de Comunicación .. etc.

I Qu,to Av. !J d" O•.tvt,,,. N2�-185 y M•tlt1d. T�!Mo,w»: 102) 2')q 11> 001 lV'I bl 00
Gu.1yo1quil. ( '""1l,or.11u 411 y Aqu,,rn 1�1rh>no1 ({1.4} 3/1) .121)1.)
Cuonca A,,t.,nia i1011�•0 7l0 V Prnr¡i1fon10 Ctirtlm/D, Tof4'tru,os: t07J 28:I Sf/ 61I;28357 26
Po1't0vi•10: ('.aflH Olm,«tn, Al•Jo•I• T,,f.,fono•, (()�) 263 .19 !>11103 !,8 10
I www.:uporbanco:.[Link]

Q
(j
0sup�rbotrtt".J<;:lC

!i1.mP1,ntrnr.l�r,c,.,. d.. ll�n�v ..

 SUPERlNTENDENClA
DE BANCOS

Resolución N ° SB-CGPyCG-2017-013
Página 37

[Link] Procedimientos de Continuidad

E l obj et ivo es d esarrollar los procedimie ntos pa ra la definición del Plan d e

Cont inu idad del N egocio, considerando lo s roles , r esponsabilidades , planes
n ecesa rio s, etc.

[Link].1 Etapa de Gestión de Crisis

Insumo: List ado de Unid ades Administrativ as y Prqcesos Críticos del N egocio,
BIA, Ges t ión de Riesgo s , Estra tegias de Continu idad del N e gocio, Me did as
Preventiv as
Salida: Plan de Reanudación de Operaciones/Plan de Continu id ad del N e gocio
Docum ent ado.

La ilu stra ción 6, identi fica el ciclo de planificación del Plan de Gestión de Crisis.
Ilustración 6 Ciclo de Planificación de Crisis

- Estructurar el
Equipo de
Administración de
Crisis/Contingencia

\
1'
If
!

[Link].1.1 Estructuración del Equipo de Administración de

Crisis/Contingencia.

Los equipos deberán ser conformados según la necesid ad y el alc ance del Plan de
Continuidad del N egocio. Lo s equipos básicos son los siguientes:

Respuesta a Incidentes: Analizar y acotar el impacto de un ev ento qu e no

requi er a activ ar el P lan de Continuid ad d el Ne gocio.

Equipo de Gestión de Crisis: Activar el P lan de Cont inuidad de l N egocio,

dirig ir funcion es durante la conting enci a.
Logística: Conseguir medios neces aríos para la reactiv ación de
ateriales, er
a J, hv �
·11., .. r���'.���:1 s��.�,��:�:, � .,:��:�����;;,1:
9 h 1 =:�P��:ª��º�!���oc
I
c/f::.,qull n,.,,,bo,.,., ll7vJ\,¡twe. Telófono;(0,1)3/04200
"''"º 1""'t .
l.,!:J t..[Link]!tEC

E
Cuonc.\ A11t BotJc-r" /1(• � Prt111df'1nto Có,dnv,1. ful� .t.,n,H; (07> 283 59 61/28357 26
Porto,;,ejo: l. •IIP Olmff(i,i v At11juul,. T4iil+ifono'! <OS) 26) .19 !11/26358 10 S t..tJttt ,·i11rnndenet.i1 de Bl)nC(,
 SUPERINTENDENCIA
DE BANCOS

Resolución N ° SB-CGPyCG-2017-013
Página 39

./ Determinar los detalles de niveles de respuesta a toda la organización

(Definir los mecanismos de reporte o contactos según el nivel de
problema) .
../ Diagramar el Flujo de Reporte .
../ Estructura del Comité de Administración de Crisis .
./ Definir la ubicación de operación del Comité de Administración de
Crisis (misma ubicación o ubicaciones alternas), determinar qué
equipo de soporte es requerido.
./ Resultados claves y el papel de Comité de Administración de Crisis .
../ Determinar agenda de reunión (Cada cuanto se ejecutarán reuniones
normales y durante una crisis) .
./ Guías para el mantenimiento de registros .
../ Gobierno de Comité de Administración de Crisis.
./ Plantilla de Informe de la situación que se utiliza en toda la
organización

[Link].1.3 Estructura documental del Plan de Continuidad del Negocio

• Propósito y alcance: El alcance debe indicar los procesos e

incidentes que se consideran dentro del ámbito nacional y/o regional.

• Roles y responsabilidades: equipos, funciones y responsabilidades.

• Criterios de invocación y activación: criterios y personas

autorizadas para activar los equipos, medios de activación. Se debe
considerar supuestos de gravedad máxirna en términos de amplitud,
duración e impacto.

• Responsable de su actualización: designar a él o los encargados

de actualización del plan.

[Link].1.3.1 Planes de Reanudación

Permiten definir los medios para mantener los serv1c1os críticos en sitio
alterno, retorno a condiciones normales, estimación de daños, identificación
o redefinición de alternativas.
Para generar el plan de reanudación se debe considerar los siguientes
lineamientos:

./ Analizar la seguridad de las edificaciones.

./ Determinar si se requiere reparaciones, construcción, reubicación

o,.,t ""·"',-��
y/o transferencia de operaciones clave y de los centros de control.

1
../ Asegurar la reanudación de las operaciones y sus condiciones.

I
ª""°. •• '"• '"'"°"" •< = "00, "'" ,o www.:uporbanco:.gob. o c
Gu.,y.,quil. r:luo1h,J1-'-l'U 112 y Avu111�. ¡�t.-fono. (04} J70 .t.:! Oíl r� 1
li!:J @sufW'·[Link]',OSEC:
Cuonc.'\' /\1\t(lrl•O f:k:,, t.·•·-· ; 10 y P1"•1d,�r,,(' CQrdovil, r..-kfo110,· \07• 28159 IJ.1 I 283 57 26
Por-tov••io• e •Jl-tJlmédO � At..;1wla, To-l,¡fonot: (05) 263 dY 511263 !,8 Hl (j �uf,Olhitv•n'Jci\••" th• EJimt..u'\
 SUPERINTENDENCIA
DE BANCOS

Resolución N° SB-CGPyCG-2017-013
Página 43

¿Cómo se priorizarán los canales de comunicación? Ej.: Web,

Correo, Teléfono, etc.
¿Cómo y en cuánto tiempo se entregará la información básica sobre
el evento? Ej.: Rueda de Prensa, Dark Site, etc.
¿Se asignará teléfonos celulares al personal clave?

Contenido del Plan:

Políticas de Medios de Comunicación.

Definición de estrategias de comunicación.
Validación y actualización de información en medios de
comunicación.
Predefinición de mensajes en medios de comunicación.
Análisis de Actores y Partes Interesadas.
Priorización de audiencias claves.
Requisitos de información.
Medios o canales de comunicación para cada parte interesada
(Dark Sites, Redes Sociales, Ruedas de Prensa, etc.).
Personal encargado de entrega de información sobre la gestión de
crisis, durante o después del evento.
Plan de Capacitación al personal encargado de entregar información
de evento de crisis.
Información sobre instalaciones, hardware de comunicaciones, etc.

Estructura de la Política de Comunicación

Objetivos
Alcance
Disposiciones Generales.
Política
o Responsables de Comunicación Interna.
o Responsables de Comunicación Externa.
o Medios y estrategias de comunicación interna y externa.
o Lineamientos generales para la definición del Plan de
Comunicación.
Sanciones
Vigencia

La ilustración 9, considera el modelo de estamento de distribución de

lit'.ca de comunicación organizacional general.
l

I Ou,to· Av 1, J� Octul,1° NlA·1 R$ y M1drld. r•l•fono, \02) 299 76 00 I 29</ 61 ()() I www.:uporbanco:.[Link]
Gu"y.;¡quil. Ch•mhotatn 412 ,¡Agui""· [Link]"o; (04) 1110 "' 00
� i;•upo1bo11co,EC
Cuonca: Antri111n 801,�•o 7JH y P,e,iduoh• Cótdovif [Link]:: ,011 293 59 ól / 283.57 2¿
Portosiojo· e.u,, OIIIIH(fo, Alaju•I• r,[Link],,., W�) 2(,3 •l? 61/26358 10 () 4iupe, intA1w:f,mci;1 dn 0""1nco1
 SUPERINTENDENCIA
DE BANCOS

Resolución N ° SB-CGPyCG-2017-013
Página 45

intranet, correo
electrónico,
portal web,
contacto
proactivo.
Público en Magnitud de la crisis , lo que se 2 Portal web de la
General hace, posible causa , la seguridad Institución,
pública , otro impacto Rueda de
Prensa, Call
Center, etc.
Prensa Información de la empresa, las 2 Portavoz definido
políticas ante eventos de crisis, la (Al inicio
extensión de la Crisis, la causa, las preferiblemente
tareas más relevantes que se están el
llevando a cabo. Superintendente
de Bancos),
entrevistas,
portal web, etc.
Clientes El tiempo probable de reanudación 3 Portal Web,
a operaciones normales, los Prensa, Call
mecanismos de entrega y recepción Center.
de información clave para
operaciones mutuas.
Aseguradoras La magnitud del daño, ejecución de 3 Contacto
pólizas, etc. Proactivo,
Llamadas
telefónicas,
Correo
Electrónico, etc.
Proveedores Ejecución de Planes de 2/4 Contacto
Continuidad, Activación de Servicios proactivos,
de Disponibilidad. Mecanismos de Llamadas
Ejecución de Pagos, etc. telefónicas, sitio
web de la SBE,
etc.

Medios o canales de comunicación para cada parte interesada

Packs de Prensa:

Recopilación de información básica del evento ocurrido en el que se

puede incluir:
J

I I
Ou,,c -'• 12 d� Oc\11b1e N74·1BS y M•d1id. Telófunoo: (02) 299 /6 00/ 299 l,1 00 www.:[Link]
Gu,,y.,qu;I, • 111n1l,.,,.,., 11} y Agw,r�. lalefnno: 104) J/0 42 lXl
(u e,upo, b•ncú>EC

IJ Supf'1imeod,•nc•, ry,. tl,m,·<•'"

Cuón<,l. A�lurn , I,, "�'� 71(1 y P1<'wtont• Cn,dnva. Tol<.lono• (tl/) 7113 �Q ó1 / 283 S7 26
Ponoo;•¡o: •liu 01,.,ll<lu y Al•ju•I• T•l�tono,1 (!)5) 263 49 511 263 �8 10
 SUPERINTENDENCIA
DE BANCOS

Resolución N ° SB-CGPyCG-2017-013
Página 47

Ilustración 9 Ejemplo de Comunicado de Prensa

{J') ;-�-;;_�.::'.'... ''"·" Comunicado de Prensa

-----1
Fecha: dd/mm/aaaa Hora: Nº de Comunicado:

La Superintendencia de Bancos, confirma un incidente [detallar el incidente: ejemplo:

terremoto], se ha presentado en la ciudad de (Ciudad], a las [hora y fecha], produciendo la
indisponibilidad [total][parcial] de nuestros servicios de [detallar servicios], en virtud de lo
cua.l se ha activado nuestro Plan de Emergencias, con el cual el equipo de respuesta a
emergencias se encuentra coordinando todas las actividades de evacuación deJ lugar de
nuestro personal y clientes, adicionalmente se han coordinado con las diferentes
Instituciones como bomberos, Secretaria de Gestión de Riesgos, etc., a quienes
agradecemos por su ayuda oportuna. Aún no conocemos en su totalidad los efectos de
evento ocurrido, pero estamos tomando todas las medidas posibles para proteger la vida de
nuestros funcionarios y clientes que se encontraban en el lugar. Nuestro Plan de
Continuidad del Negocio, se encuentra activo para mantene.r nuestros servicios durante el
evento de crisis.
La información complementaria, los podrán encontrar en los paquetes de prensa ubicados
en nuestro portal web: [Link]; Así como a nuestro call center: 1800-
SBE-SBE.

Att: Superintendente de Bancos.

Diseño del portal con información básica institucional.

Diseñarlo previamente con los requerimientos de información básica
acerca del evento.
Hosting ubicado en oficinas de la SB o en el proveedor (de
preferencia) con disponibilidad 24n.
No visible en operaciones normales.
Secciones destinadas a la descarga de packs de prensa o
información clave. (accesos restringidos)
Debe contener una sección de carga y descarga de información
para entes controlados.(acceso restringido)
Debe contar con responsables de actualización y activación del sitio.
Debe contener links de acceso a videos, redes sociales, correo
electrónico, etc.
Disponibilidad de información crítica, plantillas pre-aprobadas.

Redes Sociales

Las redes sociales deben contener la siguiente información:

/ - Información aprobada y relevante.

I I
Ou,to: Av. 12 .f::._.,_,,1,,,.
N74-HlS y M,d,id. Tolóto,,os (02) 299 1ó 00 / 29? 61 00 www.:[Link]
GuAyaquil: 011mlw1aw �12 y l.g""'"· fohltono. (04) 370 d2 (IO
l.. Os1.1pcrbanco.5fC
IJ
Cuonrn: /\�\on,r¡ Bo,r�•o 710 y P,o,id,rnte CóHtova. ínlilfonos; (07) 283 S9 01/28357 26
Pon-ooiojo, c ..11. OIM,JUU ) ,.,.,... ,•• 1Plelnn¡w (OS) ?h3 �9 51 1263 58 10 Supf"no1endN'!�3 d('! Ounct,.,
 SUPERINTENDENCIA
DE BANCOS

Resolución N ° SB-CGPyCG-2017-013
Página 49

• Generación de informes de inspección.

Análisis e inspección por parte del Comité de
•
Continuidad del Negocio.
Proceso de Evaluación
o Criterios de evaluación para activación del Plan de Continuidad
(La descripción de los criterios deberán ser definidos en el
levantamiento del plan de continuidad con las responsabilidades
de los equipos asociados.)

• Informe de inspección: cuando las instalaciones no

garantizan la seguridad del personal, cuando el centro de
datos no pueda ser operable de forma total o parcial en
infraestructura de TI o comunicaciones críticas, cuando el
tiempo de reparación sobre pase los tiempos máximos
de recuperación.
• Análisis BIA: cuando se vean afectados procesos
críticos institucionales producto de impacto de la
ocurrencia de un evento, con afectación a los tiempos
MTD, RTO, WRT y RPO.
• Impacto y severidad del evento: cuando el impacto y
severidad del evento pongan en riesgo la imagen
institucional, Estado, o servicios críticos orientados a
entidades controladas.

o Activar los equipos de recuperación: el plan de continuidad del

negocio deberá contener los parámetros de convocatoria de los
equipos de recuperación.

Activación del Equipo de Recuperación: el plan de continuidad del

negocio deberá contener los parámetros de activación de los equipos
de recuperación:

o Definición y activación de la cadena de comunicación

o Definición de responsables y personal suplente.
o Definición roles, responsabilidades y actividades a realizar.

Protocolos de escalamiento de notificaciones: el plan de continuidad del

negocio deberá determinar los lineamientos de escalamiento de
notificación basados en:

o Escalamiento por no solución en base a estrategias planteadas.

o Escalamiento por la severidad e impacto del incidente o evento
de crisis
/

Quito ,\v 12 u• •)clul•t.; �nk� M·.d,ld. T�r,1,,,,0._ 1t>?)1'1'17b 00 / 299 l>1 00

Gt.M)' ,tq,u,I. (,l 11mbcu¡ito 11J V Aqwt(tt f of«\,ono: (OA) �uo d.2 r,o
www.:uporbanco:.[Link]

I
Cuonc:,1: Ar1ln11iu Bou..ro 710 y PrMldonto C&dovu l<.'lt,fonus: (07t 283"59 01 / 283 5126
(;J e,upc,h•oco,lC

Ponov1e¡o: •-•11� C'ln,�do y Al•i"••I•, Tolvlono,: \OS) 263 -19 51 / 263 �8 10 I IJ St,pr·, mtondcnc,a :fo Bancitn
 SUPERTNTENDENCTA
DE BANCOS

Resolución N º SB-CGPyCG-2017-013
Página 51

Posibilidad de heridos o muertos adicionales.

iv.
Edificaciones potencialmente dañadas
v.
Acceso al edificio
vi.
vii.
Medios de Comunicación (Prensa)
Conocimiento del incidente por los medios (prensa)
viii.
Reacción de los reporteros en el sitio.
ix.
Cualquier instrucción especial o adicional que se
x.
considere conveniente y oportuna.
xi. Recomendaciones de recuperación
c. Una vez que se haya hecho la valoración del incidente, las
actividades de respuesta y recuperación deben ser iniciadas
inmediatamente y se aplicará el plan de continuidad del
r�ocio

I I
Ou,to ,,. 11 <.le Ocwb•� N24· IR5 ¡ MotJ1,d. Telefuo,m: tOl) 299 1b 00 / ?99 A 1 00 www.:uporbanco:.[Link]
Gu,,yaquol; Clurnbc,,n,i, 41 l y /\9ul110. lul�fono: (O-ll .l/0 d2 ()()
Cuenc�: A1n"n10 Bo,101'0 110 y P10\ldon1e Ccirdo<J<•. T<'lótl')nos- \0n 283 59 61 / 28357 26
lsj @oup<'1ban=sEC

Portovíejo: 1.,,11., Oimodu y Al•)ll•I,,, Tel,ilo110.: (OS) 263 49 511263 SB 10 (j S"uporintor..Jend.-i do [Link]
 SUPERINTENDENCIA
DE BANCOS

Resolución N ° SB·CGPyCG-2017·013
Página 55

o Prueba: determinación de los componentes a ejecutar en la prueba

del Plan de Continuidad (cadenas de comunicación, backup de
datos, plan de transporte, etc.)
o Post Prueba: definir los mecanismos de restauración al punto inicial
(limpieza de actividades, retorno de actividades normal,
desconexión de sitio alterno, retorno de personal, etc.), preparación
de informe de resultados con lecciones aprendidas. conclusiones y
recomendaciones.

Eiecución de Pruebas:

Verificar y evaluar la información completa y exacta de la documentación

del Plan de Continuidad del Alcance.
Evaluar rendimiento del personal (interno/externo) involucrado en el ensayo
y pruebas.
Evaluar el funcionamiento de los equipos de recuperación, contingencia,
incidentes, etc.
Medir los tiempos de reanudación y recuperación de las operaciones.
Medir la capacidad de recuperación de datos, sistemas, aplicaciones,
infraestructura de TI, sitio alterno, etc.
Medir la efectividad de los sitios de trabajo durante el evento de crisis.
Medir necesidades de recursos no contemplados en el diseño e
implementación del Plan de Continuidad del Negocio.
Medir el rendimiento general de actividades, operaciones, procesos,
orientados a mantener la continuidad del negocio.
Evaluar la capacidad del personal y recursos en evento de crisis
Número de registros generados, pistas de auditoría, datos recuperados.
Exactitud e integridad de la información en el sitio alterno, en relación a los
del sitio principal.

Análisis de Resultados Post-Pruebas y Ensayos:

Preparación de Informe de los resultados:

o Alcance
o Objetivos
o Escenarios, tipos de pruebas, personal y equipos requeridos.
o Hallazgos y problemas encontrados
Observaciones, conclusiones, recomendaciones, soluciones.

I Quito: Av. 1? d• <J<1"b'" N24 lSS y MAdtid. í•li!loni,s: (021 �9</ /6 00 / 2-99 61 00
GtJ.11y,•quil: Cl,i,11L1..:,1 ,�u ,112 "I Auu,uo, Tel6fono· tOd) 370 ·12 00
Cuonu: '"'ntmuf.1- Oou,,,o 710 y PJoei.ld11tnt11 Có,dov1,. fu!Mono�: l07) 2ü3 !i9 Ol I 2UJ 57 26
Portov:010: (.jllo Olrt,1.,d,1 v 41.:.ivnl+l. f,ilt\fono,: (Of;) 2AJ ,19 51 I i63 5.8 lO
I [Link]

m O-supt1rb31'\COSE:C

E S:up"11Ín\4![Link].t JI::' 8,jnCo!l

 SUPERINTENDENCIA
DE BANCOS

Resolución N º SB-CGPyCG-2017-013
Página 57

o Situación actual - deseada

o Acciones recomendadas
o Validación de implementación de controles y su eficiencia.
o Resultados de las pruebas obtenidas, en relación al RTO/RPO, MTD,
etc.
o Se revisará el plan mediante la ejecución de auditorías internas o
externas basándose en estándares adecuados y políticas definidas.

2.5 ETAPA 4 - Actuar

El objetivo es mantener un plan de mejora para las no conformidades, acciones

preventivas y correctivas identificadas durante la revisión de la gestión del Plan de
Continuidad del Negocio.

La estructuración del plan de mejora tendrá como insumos:

i. Los resultados de pruebas y ensayos sobre el Plan de Continuidad del Negocio

ii. Las auditorías internas realizadas, las revisiones de la dirección, así como la
medición del desempeño del Plan de Continuidad del Negocio.
iii. Las acciones preventivas y correctivas identificadas.
iv. Los planes de mejoras podrán considerarse como un insumo para la actualización
parcial o total de los componentes del Plan de Continuidad del Negocio.

Adicionalmente la documentación e implementación del Plan de Continuidad del negocio

podrá ser actualizada en base a los siguientes factores:

i. Cambios significativos en los procesos y funciones críticas.

ii. Cambios significativos en la Planificación Estratégica Institucional (talleres de
auto evaluación de riesgos del PEI).
iii. Necesidad de actualizar el Análisis del Impacto BIA, producto de cambios en el
entorno de operación de la institución.
iv. Necesidad de actualizar o verificar los tiempos de recuperación, o la
implementación de nuevas estrategias.
v. Necesidad de actualizar o verificar el análisis de riesgos, amenazas,
vulnerabilidades, impactos y sus probabilidades de ejecución.
vi. Implementación de controles nuevos para mitigar los riesgos.
vii. Cambios de emplazamientos geográficos.
viii. Necesidad de actualizar las políticas, estrategias, soluciones, planes, etc.
ix. Todo cambio deberá registrarse en un control de cambios y [Link] ..

1 º"'°' A• ,!:.�.,:. N,<. ,., , ••••'· '•"'°""" "" m "''" m" 00

Go�,y..quJt· r1,imla,, ,,o ,112 y Aq\Jin�. Té-Wíooo: t04) J/0 ,12 00
C.u•m;.\ f�OlhftHJ Oc.11,J{u 71U y Pte\id•nle C..o,dov.,, leté;onos::- (O/) 28.J 59 61 /2tU S7 26
Portov,o¡c, C.,ill� Olmndo y 1\l,1¡vnh, Tolofo"ot: i05¡26J d9 S1 / 2ó3 58 H)
1 www.:up orbonco,.[Link]

,;:it'
l!:J

I]
erupq,[Link]"C

Superi ntondenóa de Bso<m