EBA欧洲银行-EBA-revised-Guidelines-on-outsourcing_HR_38页_606kb

Zbrojene smjernice za eksternalizaciju (EBA/GL/2019/02)

1. Obveze usklaživanja i izvješćivanja

• Status smjernica: Ove smjernice izdane su na temelju Članka 16. Uredbe (EU) br. 1093/2010. Nadležna tijela i financijske institucije moraju se uskladiti s njima.
• Obaveza izvješćivanja:
  • Nadležna tijela moraju obavijestiti EBA o usklašenosti ili o razlogima za neusklašenost do određenog datuma.
  • Obavijesti se dostavljaju putem popunjavanja obrasca dostupnog na EBA stranicama.
  • Bilo koja promjena statusa usklašenosti mora se prijaviti EBA.

2. Predmet, područje primjene i definicije

• Predmet: Smjernice se odnose na mehanizme internog upravljanja, posebno na dobro upravljanje rizicima, za institucije, institucije za platni promet i institucije za elektronski novac u slučaju eksternalizacije ključnih ili važnih funkcija.
• Adresati:
  • Nadležna tijela utvrđena u Članku 4. stavku 1. točki 40. Uredbe (EU) br. 575/2013.
  • Institucije za platni promet i elektronski novac utvrđene u odgovarajućim stavcima iste uredebe i Direktive (EU) 2015/2366.
• Definicije:
  • Eksternalizacija – ugovor između institucije i pružatelja usluga, gdje pružatelj obavlja funkciju koju bi inače obavljala institucija.
  • Ključna ili važna funkcija – funkcija koja se smatra ključnom ili važnom u skladu s odjeljkom 4.
  • Podeksternalizacija – situacija gdje pružatelj usluga povjerava eksternaliziranu funkciju drugom pružatelju.
  • Usluge računarstva u oblaku – usluge koje se pružaju putem modela računarske infrastrukture dostupne na zahtjev.
  • Javni oblak – infrastruktura dostupna širejim javnostima.
  • Privatni oblak – infrastruktura dostupna samo jednoj instituciji.
  • Zajednički oblak – infrastruktura dostupna određenoj skupini institucija.
  • Hibridni oblak – sastavljen od dvije ili više različitih infrastruktura.
  • Upravljačko tijelo – tijelo koje je imenovano u skladu s nacionalnim pravom i zaduženo za nadzor i upravljanje institucijom.

3. Provedba

• Datum primjene:
  • Smjernice su primjenjive od 30. rujna 2019. za sve ugovore o eksternalizaciji sklopljene, revidirane ili izmijenjene nakon tog datuma.
  • Stavak 63. točka (b) primjenjuje se od 31. prosinca 2021.
• Prijelazne odredbe:
  • Institucije moraju dopuniti dokumentaciju o postojećim ugovorima o eksternalizaciji do 31. prosinca 2021.
• Stavljanje izvan snage:
  • Starije smjernice (CEBS i EBA) o eksternalizaciji stavljaju se izvan snage od 30. rujna 2019.

4. Smjernice za eksternalizaciju

Glava I. – Proporcionalnost: primjena unutar grupe i institucionalni sustavi zašite

• Proporcionalnost: Institucije i institucije za platni promet moraju uzeti u obzir načelo proporcionalnosti pri usklaživanju s ovim smjernicama.
• Ključne ili važne funkcije:
  • U slučaju eksternalizacije funkcija povezanih s temeljnim linijama poslovanja i ključnim funkcijama, moraju se smatrati ključnim ili važnim.
  • Procjena ključnosti ili važnosti mora uzeti u obzir:
    • Učinak na financijsku stabilnost i kontinuitet poslovanja.
    • Rizici povezani s eksternalizacijom.
    • Sposobnost institucije da ispunjava regulatorne obveze.
    • Mogućnost zamjene ili ponovne integracije funkcije.
    • Obradu podataka u skladu s Uredbom (EU) 2016/679.

Glava II. – Procjena ugovora o eksternalizaciji

• Procjena eksternalizacije:
  • Ugovor se smatra eksternalizacijom ako uključuje funkciju koja bi inače bila izvršavana institucijom.
  • U slučaju više funkcija, mora se uzeti u obzir sve aspekte ugovora, uključujući računalnu opremu, sigurnosne kopije podataka i druge povezane usluge.
  • Ne smatraju se eksternalizacijom:
    • Zakonska revizija.
    • Informacijske usluge (npr. podaci od Bloomberg, Moody's).
    • Globalne mreže (npr. Visa, MasterCard).
    • Sustavi poravnanja i komunikacije.
    • Usluge korespondentnog bankarstva.
    • Usluge koje inače ne obavlja institucija (npr. arhitektonski savjeti, zdravstvene usluge).

Glava III. – Okvir upravljanja

• Stabilni sustavi upravljanja i rizik treće strane:
  • Institucije moraju uspostaviti sveobuhvatan okvir upravljanja rizicima.
  • Uključuju se i rizici povezani s ugovorima s trećim stranama, posebno operativni, IKT i pravni rizici.
• Upravljačko tijelo:
  • Upravljačko tijelo je potpuno odgovorno za usklaženost s regulatornim zahtjevima i za nadzor eksternalizacije.
  • Moraju se osigurati:
    • Dostatni resursi i vještine za upravljanje i nadzor.
    • Jasna podjela zadataka i odgovornosti.
    • Dostatno upravljanje rizicima i dokumentacija o ugovorima o eksternalizaciji.
    • Nadzor nad svim aspektima poslovanja i rizikima povezanim s eksternalizacijom.

5. Politika eksternalizacije

• Odobravanje i ažuriranje politike:
  • Upravljačko tijelo mora redovito odobravati, revidirati i ažurirati pisanu politiku eksternalizacije.
  • Politika treba obuhvatiti:
    • Odgovornosti upravljačkog tijela.
    • Uključenost poslovnih linija, kontrolnih funkcija i drugih subjekata.
    • Planiranje ugovora o eksternalizaciji, uključujući:
      • Definiranje poslovnih zahtjeva.
      • Kriterije za utvrđivanje ključnih ili važnih funkcija.
      • Procjenu i upravljanje rizicima.
      • Nadzor nad provedbom ugovora.

6. Ključne mjere

• Ugovor o eksternalizaciji:
  • Moraju se osigurati odgovarajući sporazumi o povjerljivosti podataka.
  • Uključiti razmjenu informacija s pružateljima usluga.
  • U slučaju ključnih ili važnih funkcija, institucije moraju imati plan za:
    • Prijenos funkcije.
    • Ponovnu integraciju.
    • Prestanak poslovanja koje ovise o toj funkciji.

7. Obaveze za institucije

• Razmjena informacija:
  • Institucije moraju održavati jasnu organizaciju i strukturu.
  • Izbjegavati pretvaranje u „prazne ljusture" ili fiktivne subjekte.
  • Uvijek ostajati odgovorne za ispunjavanje regulatornih obveza i nadzor nad eksternalizacijom.