CONCEPTO 5613 DE 2020

(octubre 7)

<Fuente: Archivo interno entidad emisora>

COMISIÓN DE REGULACIÓN DE ENERGÍA Y GAS - CREG

XXXXXXXXXXXXXXX

Asunto: Respuesta a su solicitud con asunto “Solicitud concepto Resolución CREG 130 de 2019” con radicado CREG E–2020-009997

Expediente: 2018-0121

Respetada señora XXXXXX:

En la comunicación de la referencia del asunto, usted realiza seis solicitudes de concepto sobre la aplicación de la Resolución CREG 130 de 2019. Para dar respuesta a dichas solicitudes, se procede a transcribir cada solicitud y responder a cada una de ellas de manera individual.

“1. En relación con el Artículo 24. Características del SICEP, que en su numeral 24.7, indica:

24.7 Debe asegurar la confidencialidad, integridad y ciberseguridad de datos e información. Este requisito debe cumplirse a más tardar dentro de los dos (2) años siguientes a la entrada en operación del SICEP.

El ASIC como administrador del SICEP, entiende que la Plataforma tecnológica SICEP deberá asegurar la confidencialidad, integridad y ciberseguridad de datos e información de las convocatorias públicas a más tardar en enero de 2022, mes en el cual se cumplen los dos años de entrada en operación del SICEP de acuerdo con lo establecido en el artículo 29 de la Resolución CREG 130 de 2019, Así mismo, entiende que los procesos relacionados con las convocatorias públicas deberán obtener la Certificación ISO27001 a más tardar en la fecha mencionada. Solicitamos a la Comisión validar este entendimiento.”

El artículo 24 de la Resolución CREG 130 de 2019 establece unos requisitos mínimos que debe cumplir la plataforma tecnológica administrada por el Administrador del Sistema de Intercambios Comerciales (ASIC). El numeral 24.7 de este artículo establece específicamente lo siguiente: “debe asegurar la confidencialidad, integridad y ciberseguridad de datos e información. Este requisito debe cumplirse a más tardar dentro de los dos (2) años siguientes a la entrada en operación del SICEP”.

Ahora bien, conforme a lo señalado en el ICONTEC, el SGSI basado en ISO/IEC 27001 permite la gestión y control de los riesgos de la seguridad de la información en las organizaciones para las cuales la información y la tecnología son activos importantes de su negocio. En este sentido, con la adopción de la norma mencionada se estaría dando cumplimiento a lo establecido en el numeral 24.7 de la Resolución CREG 130 de 2019, si esto se hace dentro del período de los dos (2) años siguientes a la entrada en operación del SICEP.

Sin embargo, si XM S.A. E.S.P. ya cuenta con esta certificación dentro de la organización para otros procesos, deberá demostrarle a la SSPD, a la luz de sus funciones de inspección, vigilancia y control, cómo este otro proceso puede cubrir las condiciones descritas en la Resolución CREG 130 de 2019 y, por tanto, la obligación se entiende cumplida, o si por el contrario debe solicitar una certificación desde ceros ante el ente acreditador para este proceso, la cual deberá obtenerse dentro de los dos (2) años mencionados.

“2. En el Artículo 25, Expediente electrónico de las convocatorias, se establece que los documentos contenidos en los expedientes electrónicos del SICEP se crean, conforman y gestionan de acuerdo con lo dispuesto en el Capítulo III del Acuerdo 002 de 2014 y el Acuerdo 003 de 2015 del Archivo General de la Nación y el Capítulo VII del Decreto 1080 de 2015.

Frente a lo anterior solicitamos a la Comisión validar el siguiente entendimiento frente al cierre del expediente electrónico que aplicará el ASIC:

i) Para las convocatorias que no sean seleccionadas para la auditoria anual, el cierre del expediente electrónico se realizará una vez el auditor comunique cuales convocatorias no fueron seleccionadas y

ii) Para las convocatorias que sean seleccionadas por el Auditor, el cierre del expediente electrónico se realizará una vez se incluya el informe de la auditoría anual de la que trata el Artículo 33 de la resolución.

En caso de que la Comisión tenga otro entendimiento frente al cierre del expediente electrónico, le agradecemos indicarlo.”

El numeral 25.5 de la Resolución CREG 130 de 2019 establece que en caso de que la convocatoria sea auditada, el expediente electrónico debe contener el informe de auditoría. En consecuencia, cuando se determine que una convocatoria es objeto de auditoría, el expediente de la convocatoria podrá ser cerrado una vez se adjunte el informe de auditoría correspondiente conforme al artículo 33 de la resolución en mención, en otro caso, el expediente podrá ser cerrado una vez se determine que una convocatoria no es objeto de auditoría.

“3. Sobre el alcance del numeral 25.4 de la Resolución CREG 130 de 2019 respecto a la creación, conformación, y gestión del expediente electrónico, entendemos que el ASIC está a cargo de la creación, conformación, organización y control del expediente electrónico. Así mismo, la adopción de los mecanismos para la foliación de los documentos y su custodia por el tiempo de retención. Por su parte, son los agentes los responsables de la veracidad y completitud de la información, conforme lo establecen los artículos 9 y 27 de la mencionada resolución. A su vez, las autoridades se encargarán de la verificación e inspección de dicha información.

En este sentido, agradecemos a la Comisión validar el entendimiento en cuanto a las responsabilidades de las partes.”

En la resolución a la que se hace referencia se establece qué información debe estar disponible en el expediente electrónico. El responsable de la información que debe constar en el expediente deberá corresponder a quién haya sido designado como responsable en la mencionada resolución, en particular, a lo establecido en los artículos de responsabilidades del comercializador y del ASIC.

“4. En relación con la posibilidad de suspender o cancelar una convocatoria, la resolución CREG 130 de 2019, establece lo siguiente:

 En el Artículo 9, numeral 9.2:

“9.2 En caso de que el comercializador identifique cualquier situación en la que no pueda cumplir con lo establecido en esta resolución debe suspender el proceso de convocatoria pública e informarlo al ASIC”.

 Por su parte, en el Artículo 11, Suspensión o cancelación de la convocatoria, señala:

“…El comercializador puede solicitar la suspensión de la convocatoria una sola vez durante una misma convocatoria.

(…)

En caso de que pasados los diez (10) días hábiles, el comercializador no realice la solicitud de reactivación de la convocatoria, el ASIC debe cambiar el estado de la convocatoria en el expediente electrónico del SICEP a “cancelada” y procede a cerrar el expediente.

(…)

En todo caso, el comercializador no puede cancelar la convocatoria una vez haya recibido las ofertas por parte del ASIC”.

Al respecto, el ASIC entiende que la facultad que tiene el comercializador responsable de una convocatoria de suspenderla ante cualquier situación en la cual identifique que no puede cumplir con lo establecido en la Resolución CREG 130 de 2019 está supeditada a que no se haya realizado la entrega de las ofertas por parte del SICEP al mismo. Es decir, no podrá el SICEP aceptar una solicitud de suspensión de una convocatoria si el comercializador ha recibido las ofertas. Solicitamos a la Comisión validar nuestro entendimiento.”

Frente a lo expresado en este punto, la Comisión le informa que conforme a lo descrito en el artículo 11 de la Resolución 130 de 2019, se establece que

“En caso de que el comercializador identifique que debe suspender la convocatoria, este debe informarlo al ASIC oportunamente. (…)

En todo caso, el comercializador no puede cancelar la convocatoria una vez haya recibido las ofertas por parte del ASIC”.

En consecuencia, dadas las disposiciones del artículo en referencia, el comercializador sólo podrá solicitar la suspensión de la convocatoria antes de recibir las ofertas por parte del ASIC, a quien deberá informar de dicha solicitud de manera oportuna.

“5. Según los plazos establecidos en el Artículo 10. Procedimientos, numeral 10.4, el administrador del SICEP remite las ofertas el día calendario siguiente al que el comercializador informa sus oferentes habilitados y a partir de ese momento, cuenta con 24 horas para realizar su audiencia pública. Con el fin de evitar que posibles audiencias se realicen en horarios no laborales, agradecemos a la CREG se revise la posibilidad de pasar este plazo a horas hábiles o un día hábil.”

Los procedimientos definidos en el artículo 10 de la resolución CREG 130 de 2019 son establecidos por el comercializador, incluidos los plazos a los que se hace referencia en este punto. Entiende la Comisión que el comercializador debe considerar los lineamientos establecidos en la resolución.

“6. De acuerdo con lo establecido en el Artículo 32. Auditorías periódicas:

“El ASIC anualmente debe contratar una firma auditora independiente, mediante un proceso competitivo, para verificar el cumplimiento de lo dispuesto en esta resolución, en las convocatorias que fueron realizadas en el año calendario inmediatamente anterior” (…);

Al respecto solicitamos a la Comisión su concepto indicando a quienes y en qué proporción deben ser asignados los costos de estas auditorías.”

En la medida en que la regulación no especifica quiénes y en qué proporción deben asumir los costos de esta auditorias, se entiende que el ASIC, como responsable de la contratación, los debe incorporar en sus gastos.

“Finalmente, la Resolución CREG 130 de 2019, en sus artículos 9 y 10 establece las responsabilidades de los comercializadores que realizan las convocatorias, así como los procedimientos generales de estas convocatorias. En dichos artículos se indica, que el comercializador debe informar o remitir al Administrador del SICEP, la documentación relacionada con la convocatoria, entre ellos, los pliegos de condiciones y solicitar la creación del expediente.

Adicionalmente, en los artículos 10 y 11 de la mencionada resolución se establece que el ASIC debe verificar que el comercializador cumpla con el contenido mínimo del Aviso de Convocatoria e informar al comercializador en los eventos en que no se allegue en forma completa la información, publicar los pliegos de condiciones definitivos, las fechas y lugar de la audiencia pública, así como es responsable de la recepción, registro y custodia de los requisitos habilitantes y las ofertas que se presenten a la convocatoria y de su entrega al comercializador para su evaluación.

Sobre el particular, entendemos que todas las referencias que en la Resolución CREG 130 de 2019 se hacen al ASIC, en particular las citadas con anterioridad, deben ser tramitadas a través del SICEP como plataforma de información, por lo que la información, documentación, su publicación y trazabilidad electrónica se realiza a través de la plataforma tecnológica de conformidad con los Artículos 22 y 24 de la citada Resolución y son los agentes en cumplimiento de los principios y de los comportamientos esperados los responsables de la información que carguen en la plataforma.”

Ver respuesta a pregunta 3.

En este sentido y de acuerdo con el artículo 14 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo, sustituido por el Artículo 1o de la Ley 1755 de 2015, damos por atendida su solicitud.

Cordialmente,

JORGE ALBERTO VALENCIA MARÍN

Director Ejecutivo