¿Quién es la Persona Calificada en una oficina de impuestos pequeña?
La respuesta corta
La Regla de Salvaguardas (Safeguards Rule) de la FTC, 16 CFR Parte 314, cubre a las empresas de preparación de impuestos. La sección 314.4(a) dice que designe a una Persona Calificada (Qualified Individual). Esa persona es responsable de supervisar e implementar su programa de seguridad de la información y de hacerlo cumplir. La regla dice que la Persona Calificada puede ser empleada por usted, por una afiliada o por un proveedor de servicios. La sección 314.4(i) dice que exija a esa persona que informe por escrito, de forma regular y al menos una vez al año. La sección 314.6 dice que el párrafo del informe no se aplica a las oficinas que mantienen información de clientes de menos de 5,000 consumidores. No menciona el párrafo de la designación.
Qué dice la regla
Las citas de esta página son traducción nuestra del texto en inglés de la regla y de las publicaciones. Los originales están en los enlaces de Fuentes.
La sección 314.4 empieza con «Para desarrollar, implementar y mantener su programa de seguridad de la información, usted deberá:» y luego enumera los elementos. El párrafo (a) es el primero:
«Designar a una Persona Calificada responsable de supervisar e implementar su programa de seguridad de la información y de hacer cumplir su programa de seguridad de la información (para los fines de esta parte, “Persona Calificada”).»
De ahí en adelante, la regla usa el término con mayúsculas, «Persona Calificada», para esa persona.
Quién puede ser la Persona Calificada
La regla dice: «La Persona Calificada puede ser empleada por usted, por una afiliada o por un proveedor de servicios.» Esas son las tres fuentes que nombra.
Define al proveedor de servicios como «toda persona o entidad que recibe, mantiene, procesa o a la que de otro modo se permite el acceso a información de clientes por prestar servicios directamente a una institución financiera sujeta a esta parte».
La Publicación 5708, la guía del IRS para escribir un plan, indica «Identificar por nombre y puesto a las personas responsables de supervisar sus programas de seguridad». Su esquema del plan pide «Indicar la persona calificada que coordinará los programas de seguridad, así como las personas responsables».
Si el cargo pasa a un proveedor de servicios o a una afiliada
El párrafo (a) agrega condiciones. Sus palabras son: «En la medida en que el requisito de este párrafo (a) se cumpla mediante un proveedor de servicios o una afiliada, usted deberá:»
- «Conservar la responsabilidad del cumplimiento de esta parte;»
- «Designar a un miembro superior de su personal responsable de la dirección y la supervisión de la Persona Calificada; y»
- «Exigir al proveedor de servicios o a la afiliada que mantenga un programa de seguridad de la información que lo proteja de acuerdo con los requisitos de esta parte.»
Según esa redacción, la responsabilidad del cumplimiento sigue siendo suya. Usted también designa a un miembro superior de su propio personal para que dirija y supervise a la Persona Calificada.
El párrafo (f) trata aparte a los proveedores de servicios. Empieza con «Supervisar a los proveedores de servicios, mediante:» e incluye «Exigir por contrato a sus proveedores de servicios que implementen y mantengan dichas salvaguardas».
El informe por escrito
El párrafo (i) dice que debe «Exigir a su Persona Calificada que informe por escrito, de forma regular y al menos una vez al año, a su junta directiva o a un órgano de gobierno equivalente». Si no existe ese órgano, «dicho informe deberá presentarse oportunamente a un funcionario superior responsable de su programa de seguridad de la información».
El informe debe incluir dos cosas. La primera es «El estado general del programa de seguridad de la información y su cumplimiento de esta parte». La segunda es «Asuntos importantes relacionados con el programa de seguridad de la información», que abordan «cuestiones como la evaluación de riesgos, las decisiones de gestión de riesgos y de controles, los acuerdos con proveedores de servicios, los resultados de las pruebas, los eventos o las violaciones de seguridad y las respuestas de la gerencia, y las recomendaciones de cambios al programa de seguridad de la información».
¿Cambia algo la exención para oficinas pequeñas?
La sección 314.6 dice:
«Las secciones 314.4(b)(1), (d)(2), (h) e (i) no se aplican a las instituciones financieras que mantienen información de clientes de menos de cinco mil consumidores.»
El párrafo (i), el informe por escrito, está en esa lista. El párrafo (a), la designación, no está. El umbral es un conteo de consumidores cuya información de clientes usted mantiene. No es un conteo de personal.
La sección 314.3(a) dice que las salvaguardas deben ser «adecuadas a su tamaño y complejidad, a la naturaleza y el alcance de sus actividades y a la sensibilidad de la información de clientes en cuestión». La Publicación 5708 dice: «Por ejemplo, un profesional independiente puede usar un plan más breve y simplificado que una firma contable de 10 socios.» Eso se refiere al tamaño del plan. Vea ¿Una oficina de impuestos de una persona necesita un WISP?
Qué dicen las publicaciones del IRS
La Publicación 4557 dice que, como parte de su plan, cada empresa debe «Designar a una persona calificada responsable de supervisar e implementar su programa de seguridad de la información y de hacer cumplir su programa de seguridad de la información». La Publicación 5708 incluye el mismo punto como «Designar a una persona calificada para coordinar su programa de seguridad de la información».
Póngalo en su plan
El esquema del plan de la Publicación 5708 tiene un paso titulado «Designar a una persona calificada». También pide «Enumerar los usuarios autorizados de su firma, sus niveles de acceso a los datos y sus responsabilidades». El generador gratuito de WISP hace un borrador del plan. Para las demás partes de la regla, vea la guía de la Regla de Salvaguardas de la FTC.
Fuentes
- 16 CFR 314.1, 314.3, 314.4, 314.6 (eCFR, 2026-10-01): ecfr.gov, Parte 314 (en inglés)
- Publicación 4557 del IRS (Rev. 6-2024): irs.gov/pub/irs-pdf/p4557.pdf (en inglés)
- Publicación 5708 del IRS (Rev. 8-2024): irs.gov/pub/irs-pdf/p5708.pdf (en inglés)
Esta es información general, no asesoría legal.
¿Prefiere que se lo preparemos?
Es para las oficinas que prefieren no escribir el plan ellas mismas. Cuesta $349, redactado con herramientas de IA a partir de sus propias respuestas. Solo documentos, sin acceso a sus sistemas y sin contraseñas, y cada respuesta se marca "informado por el dueño, no verificado". Qué pasa después de pagar: usted llena el cuestionario, y el plan terminado le llega por correo en un máximo de 3 días hábiles después de recibir el cuestionario completo. No es asesoría legal ni de impuestos.
Reciba el plan escrito, hecho para usted, $349 (la página de pago está en inglés)