La Autoridad Reguladora de la Industria Financiera (FINRA) publicó la Notificación Reguladora 20-08, "Planificación de la Continuidad de Negocio Relacionada con la Pandemia, Guía y Alivio Regulatorio", el 9 de marzo de 2020. 

La Notificación sirve principalmente como (1) un recordatorio de las obligaciones de las empresas de mantener e implementar planes de continuidad comercial (PCN) razonablemente diseñados, incluyendo una discusión de áreas específicas de vulnerabilidad potencial presentadas por la pandemia; (2) guía y alivio regulatorio con respecto a las obligaciones de las empresas de supervisar las actividades comerciales; (3) guía con respecto a la disponibilidad de extensiones para varios plazos, tales como extensiones para presentaciones regulatorias, solicitudes de examen e investigación, y requisitos de licencia y educación; y (4) guía sobre los pasos que las empresas deben tomar si no pueden comunicarse con los clientes o con la FINRA. En una comunicación separada relacionada con los servicios de información comercial de la FINRA, ésta recordó también a las empresas que debían tener políticas y procedimientos por escrito que incluyeran una respuesta predeterminada en relación con el comercio extrabursátil (OTC) y la presentación de informes en caso de que se planteara un problema de información comercial.

La norma 4370 de la FINRA exige que las empresas creen y mantengan un PCN escrito en el que se identifiquen los procedimientos relativos a una emergencia o a una perturbación importante de la actividad comercial. Los procedimientos del PCN de una empresa deben estar razonablemente diseñados para que la empresa pueda cumplir sus obligaciones actuales con los clientes.

La notificación refleja que una empresa miembro puede realizar su propio análisis para determinar si una pandemia o cualquier otro evento constituye una emergencia o una interrupción significativa del negocio que hace que la empresa active su PCN. La FINRA alienta a las empresas miembros a que revisen sus PCN para considerar si éstos son suficientemente flexibles para hacer frente a una amplia gama de efectos en caso de pandemia, como el ausentismo del personal, el uso de oficinas remotas o los arreglos de teletrabajo, las limitaciones de viaje o transporte y las interrupciones o ralentizaciones de la tecnología.

Además, en la notificación se examina específicamente la obligación de las empresas miembros de la FINRA de revelar información sobre sus PCN, las esferas de riesgo que debe abarcar un PCN y la necesidad específica de la FINRA de disponer de información de contacto en caso de emergencia.

Obligación de divulgación: Una empresa debe revelar a sus clientes la forma en que su PCN aborda la posibilidad de una interrupción significativa del negocio y la forma en que la empresa planea responder a eventos de diverso alcance. Es significativo que el PCN también debe ponerse rápidamente a disposición del personal de la FINRA si así lo solicita. Las empresas pueden recibir tales solicitudes de la FINRA a medida que la pandemia de COVID-19 avanza y deben estar preparadas para proporcionarlas rápidamente.

Requisitos del PCN: El PCN debe, como mínimo, abordar lo siguiente: (1) copia de seguridad y recuperación de datos (en papel y electrónica); (2) todos los sistemas críticos para la misión; (3) evaluaciones financieras y operativas; (4) comunicaciones alternativas entre los clientes y la firma miembro; (5) comunicaciones alternativas entre la firma miembro y sus empleados; (6) ubicación física alternativa de los empleados; (7) impacto crítico en los componentes de la empresa, el banco y la contraparte; (8) informes reglamentarios; (9) comunicaciones con los reguladores; y (10) cómo la empresa asegurará el rápido acceso de los clientes a sus fondos y valores en el caso de que la empresa determine que no puede continuar su negocio.

La notificación se refiere a las directrices establecidas en la notificación reglamentaria 09-59 de la FINRA, en la que se examinan los resultados de la encuesta de la FINRA sobre la preparación de determinadas empresas para la pandemia en respuesta al brote de la gripe A (H1N1), o gripe porcina. La Notificación reglamentaria 09-59 fue concebida para ayudar a las empresas a adoptar las medidas adecuadas para prepararse para los efectos de una pandemia, e incluía las preparaciones recomendadas y las mejores prácticas para hacer frente a los riesgos asociados con el aumento del teletrabajo, entre otros:

• Limitar el acceso remoto a usuarios y aplicaciones críticas.
• Desactivar las capacidades multimedia y de redes sociales durante los períodos críticos.
• Obtener la condición de Proveedor de Servicios de Telecomunicaciones y capacidades a través del Departamento de Seguridad Interior.
• Los usuarios críticos no deben depender del acceso residencial a Internet y deben asegurar un servicio premium o dedicado.
• Practicar el ahorro de ancho de banda mediante acciones como la transferencia de grandes cantidades de datos por la noche y desconectarse de las conexiones corporativas VPN cuando no se utilicen.
• Escalonar los acuerdos de teletrabajo programando a los empleados para que trabajen a distancia a horas designadas durante el día y la noche con el fin de dispersar y equilibrar las necesidades de ancho de banda.

Información de contacto de emergencia: En la notificación, la FINRA subrayó que la norma 4370 de la FINRA también exige que las empresas miembros proporcionen (y actualicen con prontitud) la información de contacto de emergencia de dos personas de contacto de emergencia, que deben ser personas asociadas. Uno de los contactos debe ser un miembro del personal directivo superior y un director registrado de la empresa, y el segundo debe ser un miembro del personal directivo superior con conocimiento de las operaciones comerciales de la empresa. Este requisito tiene por objeto garantizar que la FINRA disponga de medios fiables para ponerse en contacto con la empresa en caso de emergencia.

La FINRA entiende que las empresas pueden implementar oficinas remotas o teletrabajo en respuesta a la pandemia, y estas prácticas pueden requerir que la empresa implemente métodos alternativos de supervisión de sus personas asociadas. La FINRA espera que una firma miembro establezca y mantenga un sistema de supervisión razonablemente diseñado para supervisar las actividades de cada persona asociada mientras trabaja desde una ubicación alternativa o remota. La FINRA también observa que las firmas miembros pueden encontrar útil probar el uso amplio de oficinas remotas antes de activar sus PCN, incluso en lo que respecta a la capacidad de conectarse a los sistemas críticos de la firma, la adecuación de las redes residenciales de acceso a Internet y la posible necesidad de asegurar servicios dedicados a la conectividad. La FINRA recuerda a las empresas miembros que deben mantenerse vigilantes en la vigilancia contra las amenazas cibernéticas, entre otras: 1) asegurándose de que los sistemas de acceso remoto estén debidamente parcheados con actualizaciones de seguridad, 2) comprobando los derechos del sistema, 3) utilizando la autenticación multifactorial para el acceso remoto de las personas asociadas y 4) educando a las personas asociadas sobre los riesgos cibernéticos. La FINRA también recuerda a las empresas que cuando las llamadas de los clientes se desvían a otra oficina, las empresas deben actuar con diligencia para validar la identidad del cliente y proporcionar una mayor supervisión de las cuentas de los clientes afectados.

Además de estos recordatorios sobre las obligaciones de supervisión de las empresas en general, la FINRA concedió las siguientes prórrogas y medidas de alivio reglamentario:

Las inspecciones de las sucursales de las empresas pueden aplazarse: Es posible que sea necesario posponer los exámenes programados de las sucursales in situ durante la pandemia, y la FINRA reconoció que el cumplimiento de los requisitos de la norma 3110(c) de la FINRA para realizar inspecciones de las sucursales y de la OSJ durante el año 2020 podría tener que ser reevaluado dependiendo de la duración y la gravedad de la pandemia.

Se han suspendido algunas obligaciones de presentación de informes del U4: La FINRA suspende temporalmente el requisito de que las empresas mantengan información U4 actualizada sobre la dirección de la oficina de empleo de las personas registradas que se trasladan temporalmente.

Se suspenden ciertas obligaciones del formulario BR, pero hay expectativas claras: La FINRA no exigirá a las empresas que presenten solicitudes de sucursales en el Formulario BR para cualquier nueva apertura de oficinas temporales o acuerdos de uso compartido del espacio. Sin embargo, una empresa debe hacer todo lo posible por notificar por escrito a su analista de vigilancia de riesgos de la FINRA lo antes posible después de establecer una nueva oficina temporal o un acuerdo de utilización compartida del espacio, entre otras cosas:

• Dirección de la oficina
• Nombre de cada firma miembro involucrada
• Nombres del personal registrado
• Número de teléfono de contacto
• Duración prevista

Si el personal de la empresa miembro compartirá espacio con otra entidad y, en caso afirmativo, el tipo de negocio en el que participa

La FINRA señala que las empresas deben tener en cuenta los riesgos que conlleva compartir espacio de oficinas con otra entidad (por ejemplo, la privacidad de los clientes, la seguridad de la información y las consideraciones relativas al mantenimiento de registros) y adoptar medidas para mitigar los riesgos durante el traslado de emergencia.

La FINRA reconoció que las empresas miembros pueden necesitar más tiempo para responder a las consultas abiertas, las investigaciones o las próximas presentaciones, y dio instrucciones para que una empresa se ponga en contacto con sus analistas de vigilancia de riesgos o con el departamento pertinente de la FINRA para solicitar una prórroga. La FINRA puede eximir del pago de honorarios por presentación tardía en relación con ciertas presentaciones tardías, sobre la base de hechos y circunstancias específicos. Si se interrumpe la comunicación de datos de las empresas, éstas deben conservar los datos pertinentes hasta que puedan ser transmitidos a la FINRA.

La FINRA observó una disponibilidad similar de prórrogas y de alivio para las personas afectadas. Los individuos con próximos exámenes de calificación o ventanas de educación continua deben ponerse en contacto con la FINRA para obtener una prórroga; de manera similar, la FINRA proporciona ayuda para la inscripción y la concesión de licencias a los individuos que se ofrecen como voluntarios o son llamados al servicio militar activo como resultado de la pandemia. Los individuos afectados (o, si son personas asociadas, sus empresas) deben proporcionar la información requerida a la FINRA en webcrd@finra.org, de acuerdo con la política de Licencia Militar Activa de la FINRA.

Por último, en la notificación se especifica que si los representantes registrados no pueden atender a sus clientes, se alienta a las empresas miembros a que coloquen sin demora en sus sitios web una notificación en la que indiquen a los clientes afectados con quién pueden ponerse en contacto en relación con la ejecución de operaciones, sus cuentas y el acceso a fondos y valores. Las empresas deben considerar políticas y procedimientos de control de supervisión que mitiguen los riesgos que puedan surgir debido a la reducción de la capacidad de comunicación con los clientes.

Curiosamente, la notificación también señala que si una firma miembro no puede ponerse en contacto con la FINRA a través de sus medios habituales debido a una pandemia u otra interrupción significativa del negocio, debe llamar al Centro de Llamadas de la FINRA al 301.590.6500. De manera similar, en una comunicación separada a ciertas firmas miembros, la FINRA señaló que sigue revisando su propio plan pandémico y el PCN para asegurar el funcionamiento continuo de las instalaciones de la FINRA para la presentación de informes comerciales3 . Aunque la FINRA declaró que prevé que las instalaciones de la FINRA seguirán funcionando plenamente en caso de pandemia, recordó a las firmas las directrices anteriores relativas a las instalaciones de reserva en el caso improbable de que la FINRA declare una interrupción generalizada de los sistemas. La FINRA recordó a las empresas que debían establecer, mantener y hacer cumplir políticas y procedimientos escritos que incluyeran una respuesta predeterminada en relación con el comercio extrabursátil y la presentación de informes en caso de que se produjera un problema en los sistemas de las instalaciones de la FINRA o un problema con los sistemas de la empresa o de sus proveedores.

En resumen, las empresas miembros de la FINRA deberían considerar la posibilidad de adoptar inmediatamente las siguientes medidas:

• Examinar la suficiencia de los PCN, prestando especial atención a si son suficientemente flexibles para hacer frente al ausentismo del personal, el uso de oficinas remotas o los arreglos de teletrabajo, las limitaciones en materia de viajes o transporte y las interrupciones o ralentizaciones de la tecnología.
• Poner a prueba el uso generalizado del teletrabajo o los arreglos de trabajo a distancia, incluida la adopción de medidas para garantizar que los sistemas de acceso a distancia estén debidamente parcheados con las actualizaciones de seguridad; comprobar los derechos del sistema; utilizar la autenticación multifactorial para el acceso a distancia de las personas asociadas; educar a las personas asociadas sobre los riesgos cibernéticos; y desarrollar un proceso para ejercer diligencia en la validación de las identidades de los clientes.
• Actualizar y mantener la información de contacto en caso de emergencia, incluyendo un contacto que sea miembro de la administración superior y un director registrado de la empresa, y un segundo contacto que sea miembro de la administración superior con conocimiento de las operaciones comerciales de la empresa.
• Responder con prontitud a las solicitudes de la FINRA de un PCN de la empresa, según proceda.
• Considerar la posibilidad de solicitar, y solicitar según sea necesario, prórrogas de tiempo para responder a las solicitudes de información de examen, vigilancia, ejecución u otras investigaciones.
• Considerar la posibilidad de solicitar, y solicitar según sea necesario, prórrogas de tiempo para hacer las presentaciones requeridas, como las presentaciones de ENFOQUE, las presentaciones del Formulario de Custodia y la información complementaria de ENFOQUE de conformidad con la regla 4524 de la FINRA.
• Hacer todo lo posible por notificar por escrito al Analista de Vigilancia de Riesgos de la FINRA de la empresa de cualquier nueva apertura de oficinas temporales o de acuerdos para compartir el espacio si la empresa traslada al personal a una ubicación temporal que no esté registrada actualmente como sucursal o identificada como ubicación habitual no sucursal.
• Ayudar a las personas asociadas afectadas a solicitar extensiones de tiempo para los próximos exámenes de calificación o las ventanas de educación continua.
• Proporcionar la información requerida a la FINRA con respecto a las personas afectadas que se ofrezcan como voluntarias o sean llamadas al servicio militar activo como resultado de la pandemia y que requieran ayuda regulatoria.
• Desarrollar un mecanismo para colocar rápidamente un aviso en el sitio web de la empresa en caso de que los representantes registrados no puedan comunicarse con los clientes, indicando a los clientes afectados a quién pueden contactar en relación con la ejecución de operaciones, sus cuentas y el acceso a fondos y valores.
• Confirmar que las políticas y procedimientos escritos de la empresa incluyen una respuesta predeterminada que aborda el comercio extrabursátil y la presentación de informes en el caso de que una cuestión de la FINRA o de los sistemas de la empresa o del proveedor afecte a la presentación de informes comerciales.