EBA欧洲银行-EBA-revised-Guidelines-on-outsourcing_RO_41页_642kb

报告摘要

Ghidul EBA/GL/2019/02 este emis în temeiul articolului 16 din Regulamentul (UE) nr. 1093/2010.
Autoritățile competente și instituțiile financiare trebuie să respecte recomandările ghidului și să le integreze în practicile lor.
Ghidul oferă orientări privind practicile adecvate de supraveghere în cadrul Sistemului European de Supraveghere Financiară.

Autoritățile competente trebuie să notifice ABE dacă se conformează sau nu ghidului, până la o dată specificată ([zz. II.aaa]).
În lipsa notificării, ABE consideră că autoritățile nu s-au conformat.
Notificările se trimit prin formularul disponibil pe site-ul ABE, la adresa compliance@eba.europa.eu, cu mențiunea „EBA/GL/2019/02”.
Orice schimbare în starea de conformare trebuie raportată ABE-ului.

Ghidul se referă la mecanismele de administrare a activității, inclusiv cele pentru gestionarea eficientă a riscurilor, în cadrul procesului de externalizare.
Se aplică în special funcțiilor critice sau importante.

Ghidul se adresează autorităților competente, instituțiilor financiare, instituțiilor de plată și instituțiilor emitente de monedă electronică.
Furnizorii de servicii de informare cu privire la conturi care furnizează doar servicii menționate în Anexa I la Directiva (UE) 2015/2366 nu sunt incluși în domeniul de aplicare.

Externalizare: orice acord între o instituție, instituție de plată sau instituție emitentă de monedă electronică și un furnizor de servicii, în baza căruia acesta desfășoară un proces, serviciu sau activitate care ar fi fost realizat de instituție.
Funcție: orice proces, serviciu sau activitate.
Funcții critice sau importante: funcții care, dacă nu sunt respectate, ar compromite semnificativ capacitatea instituției de a respecta condițiile de autorizare, performanța financiară, soliditatea și continuitatea activităților.
Subcontractare: transferul unei funcții externalizate către un alt furnizor de servicii.
Furnizor de servicii: entitate terță care desfășoară un serviciu sau activitate externalizat.
Servicii de tip cloud: servicii oferite prin infrastructură de calcul configurabilă, disponibilă la cerere.
Cloud public: infrastructură de tip cloud disponibilă pentru public.
Cloud privat: infrastructură de tip cloud disponibilă doar pentru o singură instituție.
Cloud comunitar: infrastructură de tip cloud disponibilă pentru o comunitate de instituții.
Cloud hibrid: combinație de infrastructuri de tip cloud.
Organ de conducere: organul care stabilește strategia, obiectivele și direcția instituției, inclusiv persoanele care conduc activitatea.

Ghidul se aplică începând cu data de 30 septembrie 2019, cu excepția punctului 63 litera (b), care se aplică începând cu data de 31 decembrie 2021.
Toate acordurile de externalizare încheiate, revizuite sau modificate după această dată trebuie să respecte prevederile ghidului.

Toate instituțiile și instituțiile de plată trebuie să finalizeze documentarea pentru acordurile de externalizare existente, cu excepția celor cu furnizori de servicii de tip cloud, până la 31 decembrie 2021.
În cazul în care nu se finalizează revizuirea funcțiilor critice sau importante până la această dată, instituțiile trebuie să informeze autoritatea competentă despre măsurile planificate.

Ghidul EBA/GL/2019/02 abroge ghidul CEBS din 14 decembrie 2006 și recomandările ABE privind externalizarea către furnizorii de servicii de tip cloud.

Principiul proportionalității trebuie luat în considerare atunci când se aplică prevederile ghidului.
Se aplică și la nivel de grup, în special pentru instituțiile care fac parte dintr-un sistem instituțional de protecție.
Organul de conducere al instituțiilor trebuie să răspundă de respectarea tuturor cerințelor legale și de aplicarea eficientă a ghidului.
Instituțiile și instituțiile de plată trebuie să se asigure că sarcinile operaționale ale funcțiilor de control intern sunt îndeplinite eficient, chiar dacă sunt externalizate.

Instituțiile și instituțiile de plată trebuie să evalueze dacă un acord cu o parte terță se încadrează în definiția externalizării.
Se analizează dacă funcția este realizată în mod recurent sau continuu de furnizorul de servicii și dacă aceasta ar putea fi realizată de instituție.
Nu se consideră externalizare următoarele:
- Funcții care, conform legii, trebuie realizate de furnizorul de servicii.
- Servicii de informații de piață.
- Infrastructuri globale de rețea.
- Acorduri de compensare și de decrementare.
- Infrastructuri globale de mesagerie financiară.
- Servicii bancare corespunzătoare.
- Achiziții de servicii care altfel nu ar fi realizate de instituție.

Ca parte a cadrului general de control intern, instituțiile și instituțiile de plată trebuie să dispună de un cadru exhaustiv pentru administrarea riscurilor.
Se aplică în special riscurile legate de acordurile cu părți terțe.
Riscurile, inclusiv cele operaționale, trebuie evaluate în conformitate cu secțiunea 12.2.
Instituțiile și instituțiile de plată trebuie să respecte Regulamentul (UE) nr. 2016/679 privind protecția datelor.
Externalizarea nu implică delegarea responsabilităților organului de conducere.
Organul de conducere este responsabil pentru:
- Asigurarea conformității cu condițiile de autorizare.
- Organizarea internă.
- Identificarea și gestionarea conflictelor de interese.
- Stabilirea strategiilor și politicilor instituției.
- Supraveghearea activității de conducere.
Instituțiile trebuie să alocă resurse suficiente și competente pentru a asigura supravegherea și administrarea eficientă a acordurilor de externalizare.
Se recomandă atribuirea unei funcții de externalizare unui membru al organului de conducere, în special pentru instituțiile mici și mai puțin complexe.