Su regulador no le pregunta dónde están sus datos. Le exige saberlo y probarlo.

doit aviser l'Autorité de tout incident de sécurité de l'information ayant un risque d'occasionner des répercussions négatives qui a été signalé à ses dirigeants ou, selon le cas, à ses gestionnaires au plus tard 24 heures suivant le moment auquel il a été signalé.

Qué significa

Veinticuatro horas, y la cuenta regresiva arranca en el momento en que el incidente se comunica a la dirección — no en el de su ocurrencia. El umbral es bajo: basta con un simple riesgo de repercusiones negativas, sin perjuicio comprobado. El artículo 3 añade que su política debe cubrir los incidentes ocurridos en un tercero al que usted haya confiado una actividad.

Qué respondemos

El contrato nos obliga a avisar sin demora a su responsable de la protección de los datos personales, con la naturaleza del incidente, las personas afectadas, el período y las medidas adoptadas (art. 14.9). Todavía no nos comprometemos a un número de horas, y nuestro plan de respuesta nunca se ha ejercitado. Para una institución sujeta al artículo 5, es una cláusula que hay que negociar explícitamente en la orden de compra — un compromiso «en un plazo razonable» lo dejaría a usted estructuralmente incapaz de cumplir sus 24 horas.

derecho vinculante·En vigor el 23 de abril de 2025·Fuente oficial

l'institution financière devrait maintenir, dans sa liste centralisée d'ententes d'impartition importantes, toute information utile à la gestion des risques de ses données (nature, sensibilité, emplacement(s) du traitement, de l'emmagasinage et de la circulation des données, etc.)

Qué significa

Es la posición explícita de la AMF sobre la nube, y está redactada en expectativas, no en prohibiciones: el pasaje emplea «devrait» — debería — de principio a fin. Lo que la AMF espera no es que usted aloje aquí, sino que SEPA y DOCUMENTE dónde se tratan, se almacenan y circulan los datos, que los cifre en tránsito, en memoria y en reposo, y que el contrato prevea un derecho de auditoría — «así como el de las demás autoridades competentes» — y el acceso a las instalaciones. La misma lista espera además cuatro cosas que suelen olvidarse: un plan de salida, la mitigación de la subcontratación en cadena, un seguimiento del riesgo de concentración y la identificación del riesgo de «soberanía» de los datos. Y remite dos veces a la Ligne directrice sur la gestion des risques liés à l'impartition (lineamiento sobre la gestión de los riesgos de la externalización), citada más abajo.

Qué respondemos

Sobre la documentación, es exactamente lo que ofrece esta página: la región de alojamiento nombrada — Azure Canada Central (Toronto) por defecto, una región quebequesa solo en alojamiento privado —, el recorrido de una solicitud descrito paso a paso, la distinción entre lo que permanece en Canadá y lo que no, y las políticas publicadas de cada proveedor de modelos. Cifrado en tránsito y en reposo, acceso por usuario y por grupo, registro de auditoría. El derecho de auditoría existe en el contrato (art. 14.10), con un preaviso de quince días hábiles, una vez cada doce meses — pero está redactado solo para usted y no nombra a sus reguladores. Sobre el resto, no: no hay plan de salida documentado más allá de la exportación íntegra, no hay preaviso contractual antes de incorporar un subencargado, y ni el riesgo de concentración ni el de soberanía los resolvemos nosotros — la inferencia se ejecuta en proveedores extranjeros, varios en Estados Unidos. Tampoco tenemos ninguna certificación SOC 2 o ISO que aportar a su expediente.

expectativa del regulador·Febrero de 2020 — en vigor·Fuente oficial

(vii) par avis écrit tout incident de cybersécurité, (a) dans les trois jours civils suivant la découverte de l'incident de cybersécurité

Qué significa

El umbral cuenta tanto como el plazo: el artículo 3703(1) solo alcanza al incidente que causa o puede causar un perjuicio grave a una persona, que tiene repercusiones importantes sobre una parte de las actividades normales, que activa el plan de continuidad o de recuperación, o que obliga a avisar a un organismo gubernamental o a una autoridad. Tres días naturales para la notificación inicial y, después, un informe completo dentro de los 30 días naturales — ambos plazos corren desde el DESCUBRIMIENTO del incidente, y el segundo «salvo acuerdo en contrario del Organismo». Alcance: el artículo 3703 pertenece a las Règles CPPC, que se dirigen a los corredores de INVERSIÓN; las reglas para los corredores de fondos de inversión colectiva no contienen ninguna obligación de notificación de ciberincidentes. Por último, la nota de orientación de CIRO precisa que el «sistema informático» del corredor incluye los elementos suministrados por proveedores de servicios externos: un incidente en su proveedor es un incidente que usted debe declarar.

Qué respondemos

La misma respuesta y el mismo límite que arriba: aviso sin demora a su responsable designado, con un contenido enumerado (art. 14.9), pero sin compromiso cifrado en horas. Para el informe a los treinta días, usted necesitará la causa raíz y el alcance del incidente — son elementos que nos comprometemos contractualmente a aportar como asistencia, facturable más allá de nuestras obligaciones normales salvo que el incidente nos sea imputable. Cuente ambos plazos desde su descubrimiento, no desde nuestro aviso: es lo que hace que el plazo contractual de notificación sea determinante para usted.

derecho vinculante·Versión del 8 de enero de 2026; exigencia en vigor desde el 14 de noviembre de 2019·Fuente oficial

La société inscrite garde les dossiers prévus par la législation en valeurs mobilières : a) pendant 7 ans à compter de la date de leur établissement; b) en lieu sûr et sous une forme durable;

Qué significa

Siete años, en lugar seguro y en forma duradera, entregables a la autoridad en un plazo razonable y en un formato que esta pueda leer. Dos precisiones que se saltan demasiado rápido. Primero, «lugar seguro» no tiene contenido geográfico — ni las ACVM ni CIRO exigen que esos expedientes estén en Canadá — pero la instrucción complementaria sí le da contenido: impedir todo acceso no autorizado y celebrar un acuerdo de confidencialidad cuando un tercero pueda acceder a los documentos, que es precisamente el caso de una plataforma alojada. Segundo, CIRO tiene su propia regla, distinta de esta: el artículo 3803 de las Règles CPPC obliga al corredor de inversión a conservar «en un lugar seguro» una copia de la documentación exigida por el Organismo, «en forma accesible y duradera», durante al menos siete años desde su creación. El texto que sirve el enlace es la refundición de la CSFSC de Nuevo Brunswick; en Quebec, el instrumento aplicable es el Règlement 31-103, RLRQ c. V-1.1, r. 10, de texto idéntico.

Qué respondemos

Ninguna purga configurable por usted romperá sus siete años, y conversaciones, documentos y adjuntos se exportan en un formato legible. Pero tres supresiones automáticas se aplican de todos modos, y si una de ellas contiene una pieza del expediente reglamentario, la destruye sin atender a sus siete años: hay que exportarla antes del vencimiento. Tres temporizadores codificados de forma fija afectan directamente a un expediente — transcripciones a 30 días, archivos producidos por una herramienta a 7 días, adjuntos nunca enviados a 48 horas — y no se pueden desactivar; no existe ninguna retención configurable ni certificado de destrucción. Si una de ellas contiene una pieza del expediente reglamentario — una transcripción de llamada de cliente, por ejemplo — la destruye sin atender a sus siete años. En cuanto al «lugar seguro»: instancia dedicada, acceso por usuario y por grupo, registro de auditoría y una cláusula de confidencialidad en el contrato (art. 14), lo que responde al acuerdo de confidencialidad esperado. El expediente reglamentario que debe vivir siete años corresponde a su archivo; la plataforma es donde se hace el trabajo. Son los temporizadores que afectan a un expediente; existen otros relojes en otros puntos del producto, y la página Confidencialidad y cumplimiento publica el inventario completo.

derecho vinculante·Refundición al 1 de enero de 2026·Fuente oficial

La société inscrite a la responsabilité de toutes les fonctions externalisées. Elle devrait conclure un contrat écrit ayant force exécutoire et énonçant les attentes des parties à la convention d'externalisation.

Qué significa

La responsabilidad reglamentaria no se delega: sigue siendo la de la sociedad inscrita, con todas sus letras. El resto de la rúbrica está redactado en expectativas — la sociedad «debería» celebrar un contrato escrito y ejecutable, efectuar una diligencia debida documentada antes de contratar, verificar la confidencialidad y la recuperación ante desastres, y examinar de forma continua la calidad de los servicios. La rúbrica termina con su párrafo más exigente: la autoridad, la sociedad inscrita y sus auditores deberían gozar del mismo acceso al producto del trabajo del proveedor que si las actividades se ejercieran internamente, y una cláusula en ese sentido debería figurar en el contrato. A ello se suma la nota de orientación GN-2300-21-003 de CIRO («Ententes d'externalisation», acuerdos de externalización, en vigor el 31 de diciembre de 2021): no celebrar nunca un acuerdo que obstaculice la supervisión eficaz del regulador o que permita una subcontratación en cascada sin su conocimiento, y avisar a CIRO de todo nuevo acuerdo relativo a una actividad esencial, en virtud del párrafo 2246(2) de las Règles CPPC — eso sí es derecho vinculante. La misma nota sitúa la gestión y el mantenimiento de los sistemas de información del corredor entre las actividades esenciales.

Qué respondemos

Contrato escrito y firmado, con derecho de auditoría (art. 14.10) — pero lea el límite: es anual, con un preaviso de quince días hábiles, ejercitable solo por usted, y podemos satisfacerlo mediante informes y cuestionarios. Es menos que el acceso de la AUTORIDAD al producto del trabajo que describe el último párrafo de la rúbrica, y no tenemos SOC 2 ni ISO que ofrecer en sustitución: la cláusula hay que ampliarla en la orden de compra. Nuestra lista de subencargados se publica por función y las entidades nombradas se facilitan bajo acuerdo de confidencialidad; el preaviso contractual antes de incorporar un subencargado está fechado en nuestra hoja de ruta, todavía no existe. Y si usted concluye que el alojamiento de sus sistemas de información es una actividad esencial, el aviso a CIRO le corresponde darlo a usted, antes del cambio.

expectativa del regulador·Refundición al 1 de enero de 2026·Fuente oficial

S'il est possible que des renseignements sur leurs clients soient saisis dans un système d'IA, il leur faudra prendre les mesures qui s'imposent pour en assurer la confidentialité.

Qué significa

El aviso plantea dos cosas. Primero, se puede externalizar el soporte pero nunca una actividad que exige la inscripción — la idoneidad, por ejemplo, sigue siendo suya. Segundo, la gobernanza debe cubrir «toda la cadena de suministro del sistema de IA», incluidos los proveedores terceros, los servicios en la nube y las fuentes de datos.

Qué respondemos

La cadena se describe con claridad en esta página: su instancia, nuestra capa de enrutamiento, el proveedor del modelo elegido. Los modelos utilizables se restringen por grupo, por usuario nombrado, o se reservan a los administradores, con una denegación aplicada en el momento de la llamada — entendiéndose que esa denegación vincula los modelos que elige el usuario, y no las pocas llamadas que el propio servidor emite, entre ellas la extracción del texto de un documento añadido a una base de conocimiento o traído de un conector, y la detección Ley 25; el detalle está en la página Confidencialidad y cumplimiento. La plataforma redacta y propone; no emite dictámenes de idoneidad, y el contrato prohíbe expresamente tratar una salida como una decisión final sin validación humana.

expectativa del regulador·5 de diciembre de 2024; consulta cerrada el 31 de marzo de 2025, sin seguimiento publicado al 6 de agosto de 2026·Fuente oficial

Le cas échéant, les contrats doivent également préciser que les documents et données de l'IFF doivent être constamment séparés de ceux des autres clients, y compris durant leur transfert ou dans des conditions défavorables (p. ex., interruption de service).

Qué significa

B-10 plantea aquí una prueba de equivalencia, no de localización: sus datos deben gozar de la misma protección en el tercero que en su casa, estar constantemente aislados de los de los demás clientes — incluso en tránsito y en modo degradado — y seguir estando disponibles y fácilmente accesibles, a petición, para la IFF y para el BSIF. Pero la exigencia citada recae sobre lo que EL CONTRATO debe precisar, no sobre lo que permite la arquitectura. Y la regla de lugar sí existe: el §2.3.2.2 remite al art. 239(1) de la Loi sur les banques y a sus equivalentes — véase la entrada siguiente, que la trata por sí misma.

Qué respondemos

El aislamiento existe en la arquitectura: cada cliente recibe una instancia dedicada, con su propia base de datos. No existe ninguna base de aplicación compartida entre clientes, así que no hay modo degradado en el que sus datos convivan con los de otro. Pero no es lo que pide la cita. Nuestro contrato no tiene ninguna cláusula de aislamiento constante: el artículo 14 cubre la confidencialidad, las finalidades, los subencargados, el aviso de incidente sin demora, el derecho de auditoría anual y el preaviso en caso de divulgación forzada — no la separación de los documentos y de los datos, incluso durante su transferencia. Para una IFF, ahí está la brecha, y ese es el sentido exacto de B-10: la arquitectura hace fácil de cumplir el compromiso, queda escribirlo en el contrato antes de firmar.

expectativa del regulador·Publicado el 30 de abril de 2023; en vigor el 1 de mayo de 2024·Fuente oficial

L'IFF doit mettre en œuvre et maintenir de solides technologies cryptographiques pour protéger l'authenticité, la confidentialité et l'intégrité de ses actifs technologiques.

Qué significa

El §3.2.5 es el que cuenta para la IA: exige controles para los datos en reposo, en tránsito Y en uso. Es el reconocimiento regulatorio del tercer estado descrito en nuestra página principal de seguridad — aquel que ningún cifrado protege y que depende del contrato.

Qué respondemos

En reposo y en tránsito: cifrado provisto por la plataforma de alojamiento, TLS 1.2 o superior en todas partes, bóveda de claves con control por función. En uso: no es un problema de criptografía sino de contrato y de enrutamiento, y se trata con todas sus letras en la página principal — incluido el hecho de que todavía no imponemos técnicamente un enrutamiento de retención cero en cada llamada.

expectativa del regulador·Publicado el 31 de julio de 2022; en vigor el 1 de enero de 2024·Fuente oficial

Il importe de préciser que les attentes de la présente portent sur toute utilisation des SIA par l'institution, qu'elle concerne ou non le traitement des dossiers des clients.

Qué significa

No está en vigor — lo decimos porque varios proveedores ya la presentan como derecho aplicable — y otros dos textos tampoco: la Ligne directrice de l'AMF sur la gestion du risque lié aux tiers (lineamiento de la AMF sobre la gestión del riesgo asociado a terceros, marzo de 2026, con efecto en 2027 — fecha que no hemos podido confirmar en el sitio de la AMF, que rechaza a los agentes que no son navegadores), que sustituirá al lineamiento sobre la externalización citado más abajo, y el Lineamiento E-23 del BSIF sobre la gestión del riesgo de modelación, cuya versión definitiva se publicó el 11 de septiembre de 2025 y que entra en vigor el 1 de mayo de 2027. Lo que anuncian: inventariar periódicamente todos los modelos y sistemas de IA, pero consignar en el repertorio centralizado solo aquellos cuyo riesgo la institución juzgue no despreciable; una calificación de riesgo; un «estudio de los componentes del SIA suministrados por un tercero (plataformas, modelos, datos, etc.)» en la validación; el aislamiento aguas arriba y aguas abajo del sistema; el marcado destacado del contenido generado; y, en el §8.3, informar al cliente de que se comunica con un SIA, ofrecerle acceso oportuno a una persona y explicarle con claridad una decisión tomada o recomendada por un SIA. E-23 extiende el riesgo de modelo a los modelos de terceros.

Qué respondemos

Lo que ya existe y sirve a esa preparación: instancia aislada, catálogo de modelos restringible por grupo o por usuario — sobre lo que elige un usuario, no sobre lo que reserva el servidor, políticas de los proveedores a la vista, atribución y registro de auditoría por usuario, exportación íntegra. Lo que seguirá faltando en 2027 si nada cambia: versionado de las instrucciones y de los modelos expuesto al cliente, marcado sistemático del contenido generado, aviso automático al cliente de que se dirige a un sistema de IA y una vía de escalado hacia una persona, herramientas de detección de sesgos y una documentación de validación lista para incorporar a su repertorio. De todo ello, una sola cosa figura hoy en nuestra hoja de ruta: el marcado del contenido generado. Las otras cuatro — detección de sesgos, versionado expuesto al cliente, escalado hacia una persona y documentación de validación — no están allí ni entregadas ni fechadas, y preferimos escribirlo antes que dejarle seguir una remisión vacía. Nada de eso depende de sus políticas internas: son funcionalidades de producto.

expectativa del regulador·Marzo de 2026 — con efecto el 1 de mayo de 2027·Fuente oficial

Les livres sont conservés au siège de la banque ou en tout lieu au Canada convenant au conseil.

Qué significa

Esta es la regla de localización que existe realmente en este sector, y solo alcanza a las instituciones con carta federal. Las mismas palabras figuran en el art. 262(1) de la Loi sur les sociétés d'assurances y en el art. 244(1) de la Loi sur les sociétés de fiducie et de prêt, y el lineamiento B-10 del BSIF añade, en el §2.3.2.2, que si los documentos son electrónicos «deben conservarse ejemplares completos en un servidor situado en los lugares previstos por las leyes que rigen a las IFF». Se refiere a los libros previstos en el art. 238, no a todo dato de la institución. Dos prolongaciones cuentan para una plataforma de IA. El art. 245(1) apunta al TRATAMIENTO y no al mero almacenamiento: si estima que tratar en el extranjero la información relativa a la llevanza de los libros obstaculiza sus funciones, el superintendente ordena al banco que solo lo haga en Canadá — y una llamada de inferencia enrutada fuera del país es exactamente esa actividad. Y la dispensa del art. 239(3.1), para la filial de un banco extranjero de un país cubierto por un tratado del anexo IV, tiene un precio, enunciado en el §2.3.2.2 de B-10: facilitar al BSIF «un acceso inmediato, directo, completo y continuo a los documentos conservados en el extranjero».

Qué respondemos

Sobre la conservación, nuestra configuración por defecto responde: instancia dedicada alojada en Azure Canada Central (Toronto), una región quebequesa solo en alojamiento privado, cifrado en tránsito y en reposo, acceso por usuario y por grupo, registro de auditoría, exportación íntegra en todo momento. Lo que se encuentra en su instancia permanece, pues, en Canadá. Sobre el tratamiento, no, y no lo maquillamos: la inferencia se ejecuta en proveedores de modelos extranjeros, varios en Estados Unidos, y todavía no imponemos técnicamente un enrutamiento canadiense para cada llamada. Para una institución con carta federal, la lectura honesta es esta: el alojamiento satisface el art. 239, la inferencia sale de Canadá, y la exposición al art. 245(1) le corresponde evaluarla a usted antes de confiarnos información relativa a la llevanza de sus libros. El original de esos libros corresponde a su archivo, no a la plataforma.

derecho vinculante·Ley actualizada al 17 de junio de 2026; última modificación el 26 de marzo de 2026·Fuente oficial

Une institution financière ou un agent d’évaluation du crédit doit aviser l’Autorité de l’évolution de la situation au plus tard 3 jours suivant l’avis qui lui a été donné en vertu de l’article 5 et au plus tard tous les 3 jours suivant l’avis précédent jusqu’à la transmission à l’Autorité d’un avis confirmant que l’incident est maîtrisé et que les activités ont repris leur cours normal.

Qué significa

El reloj de 24 horas del artículo 5 no es, por tanto, un plazo único: es el arranque de una cadencia — actualización cada 3 días hasta el aviso de contención, luego un informe a la Autoridad dentro de los 30 días siguientes a ese aviso (art. 9: fuente y tipo del incidente, apreciación del riesgo de recurrencia, medios adoptados), y después un registro (art. 10) que debe nombrar, para cada incidente, «los terceros afectados», los perjuicios y las acciones adoptadas y previstas, conservado de forma segura durante al menos 5 años (art. 11). La falta de aviso dentro de las 24 horas y la falta de seguimiento cada 3 días son ambas sancionables con una sanción administrativa pecuniaria (art. 12). Y no son los únicos relojes del sector. Una institución con carta federal debe avisar al BSIF «lo antes posible, y a más tardar dentro de las 24 horas siguientes al incidente» (preaviso Signalement des incidents liés à la technologie et à la cybersécurité, notificación de incidentes tecnológicos y de ciberseguridad, 13 de agosto de 2021), cuyos criterios de notificación incluyen expresamente las «repercusiones en un tercero con consecuencias para la IFF», y después informar periódicamente hasta la contención. Un corredor de inversión tiene los 3 días naturales y los 30 días naturales del artículo 3703(2)(vii) de las Règles CPPC, contados desde el DESCUBRIMIENTO; un corredor de fondos de inversión colectiva, en cambio, no tiene ninguna obligación de notificación de ciberincidentes.

Qué respondemos

El contrato nos obliga a avisar sin demora a su responsable de la protección de los datos personales, con la naturaleza del incidente, las personas afectadas, el período y las medidas adoptadas (art. 14.9). Tres límites que conviene conocer antes de firmar. No nos comprometemos a ningún número de horas, lo que hace que sus 24 horas — de la AMF o del BSIF — dependan estructuralmente de nuestra buena voluntad. Tampoco nos comprometemos a actualizaciones periódicas: el artículo 8 le pide alimentar a la Autoridad cada 3 días con hechos que, si el incidente ocurre en nuestra casa, solo nosotros poseemos. Por último, nuestro plan de respuesta nunca se ha ejercitado. Lo que podemos aportar para su registro — fuente, tipo, terceros afectados, perjuicios, acciones adoptadas — es asistencia contractual, facturable más allá de nuestras obligaciones normales salvo que el incidente nos sea imputable, y ese registro debe vivir cinco años en sus sistemas: la plataforma no ofrece retención configurable ni certificado de destrucción. Haga constar en la orden de compra un plazo en horas y una cadencia de actualizaciones.

derecho vinculante·En vigor el 23 de abril de 2025; actualizado al 1 de abril de 2026·Fuente oficial

De plus, dans le cas où le fournisseur de services recourt lui-même à l’impartition, l’institution financière devrait s’assurer que le contrat d’impartition identifie les responsabilités du fournisseur de services à cet égard.

Qué significa

Es el texto de externalización de la AMF aplicable HOY — aquel al que el lineamiento sobre las TIC remite dos veces — y apunta directamente al punto más débil de una plataforma de IA: la subcontratación en cadena. La expectativa no es que su proveedor deje de tener subcontratistas, sino que el contrato identifique sus responsabilidades al respecto. En torno a ese principio, el lineamiento espera un contrato de servicios escrito cuyo nivel de detalle siga la importancia del acuerdo, la inclusión de las estrategias de mitigación de riesgos que implican al proveedor, y una cláusula que permita pedirle información adicional sobre el acuerdo. El Principio 5 añade el seguimiento: lista centralizada de los acuerdos importantes mantenida al día, indicadores de desempeño definidos en el contrato, evaluación periódica de la capacidad financiera y operativa del proveedor. Todo ello está redactado en «debería»: son expectativas, no derecho vinculante — pero la AMF las verifica en inspección.

Qué respondemos

Nuestra lista de subencargados se publica por función, y las entidades nombradas se facilitan bajo acuerdo de confidencialidad; el contrato (art. 14) regula la confidencialidad, las finalidades y el recurso a subencargados. Dos carencias, nombradas sin rodeos: el contrato no identifica nuestras responsabilidades por los fallos de nuestros propios subencargados más allá del régimen general, y no prevé ningún preaviso antes de incorporar un subencargado — por tanto, ningún derecho de rechazo para usted. Son las dos cláusulas que conviene hacer constar en la orden de compra si este acuerdo entra en su lista centralizada. Tampoco tenemos SOC 2 ni certificación ISO que aportar a su diligencia debida: esta página, el contrato y sus propias preguntas hacen las veces.

expectativa del regulador·Abril de 2009 — en vigor hoy; será sustituida por la Ligne directrice sur la gestion du risque lié aux tiers (marzo de 2026), cuya entrada en vigor se anuncia para 2027 — no hemos podido confirmar la fecha exacta en la fuente, porque el sitio de la AMF rechaza a los agentes que no son navegadores·Fuente oficial

Le contrat doit donner à l’IFF et au BSIF le droit d’évaluer les pratiques de gestion du risque lié au service fourni. Plus précisément, l’IFF et le BSIF doivent être en mesure d’évaluer les risques découlant de l’entente ou de nommer des auditeurs indépendants pour évaluer les pratiques de gestion du risque lié au service fourni et les risques découlant de la relation au nom de l’IFF ou du BSIF. L’IFF et le BSIF doivent également être en mesure d’accéder aux rapports d’audit du service fourni à l’IFF.

Qué significa

El derecho de auditoría que se espera no es el suyo: es el suyo Y el del BSIF, con la facultad de nombrar auditores independientes y de acceder a los informes de auditoría del servicio. Una cláusula redactada en beneficio exclusivo del cliente no responde a ello. El §2.3.2.2 plantea la exigencia gemela para los documentos: la IFF que no está obligada a conservar ejemplares en Canadá debe facilitar al BSIF «un acceso inmediato, directo, completo y continuo a los documentos conservados en el extranjero» — inmediato y continuo, algo que ninguna auditoría anual con preaviso proporciona. Del lado de los valores mobiliarios, la expectativa es de la misma naturaleza: la instrucción complementaria del 31-103 quiere que la autoridad, la sociedad inscrita y sus auditores gocen del mismo acceso al producto del trabajo del proveedor que si las actividades se ejercieran internamente, y que una cláusula en ese sentido figure en el contrato.

Qué respondemos

Nuestro contrato otorga un derecho de auditoría (art. 14.10) una vez cada doce meses, con un preaviso de quince días hábiles, ejercitable por usted y satisfacible mediante informes y cuestionarios. No nombra ni al BSIF ni a la autoridad en valores mobiliarios, está cadenciado, lleva preaviso, y no tenemos ningún informe SOC 2 ni certificación ISO que producir en su lugar. De las tres expectativas anteriores, no satisface ninguna tal como está escrito: es la cláusula que hay que reescribir antes de firmar, añadiendo en ella nominalmente a su regulador. Lo que sí existe y se demuestra: instancia dedicada, registro de auditoría consultable, acceso por usuario y por grupo, exportación íntegra en todo momento, y un preaviso contractual en caso de divulgación forzada por una autoridad extranjera.

expectativa del regulador·Publicado el 30 de abril de 2023; en vigor el 1 de mayo de 2024·Fuente oficial