EBA欧洲银行-EBA-revised-Guidelines-on-outsourcing_IT_43页_581kb

报告摘要

Orientamenti in materia di esternalizzazione (EBA/GL/2019/02)

1. Conformità e obblighi di comunicazione

Status giuridico: I presenti orientamenti sono emanati in applicazione dell’articolo 16 del regolamento (UE) n. 1093/2010. Le autorità competenti e gli enti finanziari devono conformarsi agli orientamenti, integrandoli nelle proprie prassi di vigilanza.
Obblighi di notifica: Le autorità competenti devono notificare all’ABE entro una data specifica (indicata nel documento) se sono conformi o intendono conformarsi. In mancanza di notifica, si ritiene che non siano conformi.
Pubblicazione: Le notifiche sono pubblicate sul sito web dell’ABE.
Variazione dello status: Qualsiasi variazione dello stato di conformità deve essere comunicata all’ABE.

2. Oggetto, ambito di applicazione e definizioni

Oggetto: I presenti orientamenti si concentrano sulla gestione dei rischi e sulla governance interna per enti, istituti di pagamento e istituti di moneta elettronica che esternalizzano funzioni, specialmente quelle essenziali o importanti.
Destinatari:
- Autorità competenti di cui all’articolo 4, paragrafo 1, punto 40, del regolamento (UE) n. 575/2013.
- Enti e istituti di pagamento.
- Istituti di moneta elettronica.
Definizioni chiave:
- Externalizzazione: Un accordo tra un ente e un fornitore di servizi per svolgere una funzione.
- Funzione essenziale o importante: Funzione che, se non eseguita, potrebbe compromettere l’autorizzazione, la solidità finanziaria o la continuità operativa.
- Subexternalizzazione: Trasferimento di una funzione esternalizzata a un altro fornitore.
- Fornitore di servizi: Terzo che svolge una funzione esternalizzata.
- Servizi cloud: Servizi forniti tramite cloud computing.
- Cloud pubblico/privato/comunitario/ibrido: Tipologie di infrastruttura cloud.
- Organo di amministrazione: Enti responsabili della supervisione strategica e del monitoraggio.

3. Attuazione

Data di applicazione

I presenti orientamenti si applicano dal 30 settembre 2019, a eccezione del paragrafo 63, lettera b), che entra in vigore il 31 dicembre 2021.
Gli enti e gli istituti di pagamento devono rivedere e modificare gli accordi di esternalizzazione esistenti entro tale data.

Disposizioni transitorie

Gli enti e gli istituti di pagamento devono completare la documentazione degli accordi di esternalizzazione entro il 31 dicembre 2021, a eccezione degli accordi con fornitori di servizi cloud.
Le autorità competenti, gli enti e gli istituti di pagamento devono garantire l’accesso al registro individuale degli accordi di esternalizzazione.

Abrogazione

I precedenti orientamenti del CEBS del 2006 e le raccomandazioni dell’ABE sulle esternalizzazioni cloud sono abrogati con effetto dal 30 settembre 2019.

4. Orientamenti in materia di esternalizzazione

Titolo I. Proporzionalità

Principio di proporzionalità: Gli enti e gli istituti di pagamento devono adottare dispositivi di governance coerenti con il loro profilo di rischio, modello di business e complessità.
Fattori da considerare: Complessità della funzione esternalizzata, rischi derivanti dall’esternalizzazione, essenzialità o importanza della funzione, impatto sulla continuità operativa.
Riferimenti: I criteri del titolo I degli orientamenti dell’ABE sulla governance interna devono essere tenuti in considerazione.

Titolo II. Valutazione degli accordi di esternalizzazione

Definizione di esternalizzazione: Deve essere valutata se un accordo con un terzo rientra nella definizione di esternalizzazione.
Casi esclusi: Alcuni servizi non sono considerati esternalizzazioni, tra cui:
- Funzioni legali obbligatorie.
- Servizi di informazione sui mercati.
- Infrastrutture globali come Visa e MasterCard.
- Accordi di compensazione e regolamento.
- Servizi bancari di corrispondenza.
- Acquisizione di servizi non essenziali (es. pulizia, manutenzione, servizi di ristorazione).
Valutazione della funzione essenziale o importante:
- Se un’ anomalia nella sua esecuzione compromette l’autorizzazione, i risultati finanziari o la continuità operativa.
- Se la mancata esecuzione o un’esecuzione inadeguata compromette la funzione di controllo interno.
- Se l’esternalizzazione riguarda attività principali o funzioni essenziali definite dalla direttiva 2014/59/UE.
Fattori da valutare: Impatto sulla solidità finanziaria, continuità operativa, rischi operativi e legali, reputazionali, sulla capacità di gestire i rischi, rispetto delle norme, servizi ai clienti, esposizione complessiva, dimensioni e complessità dell’area operativa, capacità di scalare, trasferire l’accordo, reintegrare la funzione, protezione dei dati e rispetto del regolamento GDPR.

Titolo III. Quadro di governance

Gestione dei rischi: Gli enti e gli istituti di pagamento devono disporre di un sistema olistico di gestione dei rischi che si estenda a tutte le linee di business e unità interne.
Responsabilità dell’organo di amministrazione:
- Deve garantire il rispetto delle condizioni di autorizzazione.
- Deve supervisionare l’organizzazione interna.
- Deve identificare, valutare e gestire i conflitti di interesse.
- Definire strategie e politiche dell’ente.
- Supervisionare la gestione quotidiana e i rischi associati all’esternalizzazione.
Risorse e competenze: Gli enti e gli istituti di pagamento devono garantire che i membri dell’organo di amministrazione, i direttori e il personale chiave siano adeguatamente qualificati e dotati di risorse.
Divisione dei compiti: Deve essere attribuita una responsabilità chiara per la gestione e il controllo degli accordi di esternalizzazione. Gli enti di piccole dimensioni possono assegnare questa funzione a un membro dell’organo di amministrazione.

Conclusione

I presenti orientamenti stabiliscono un quadro chiaro per la gestione e la supervisione delle esternalizzazioni da parte degli enti e degli istituti di pagamento, enfatizzando la proporzionalità, la conformità alle normative, la gestione dei rischi e la responsabilità degli organi di amministrazione. Sono applicabili a partire dal 30 settembre 2019, con alcune eccezioni per il 2021, e sostituiscono le precedenti linee guida.

展开完整摘要