EBA欧洲银行-EBA-revised-Guidelines-on-outsourcing_DE_43页_616kb

报告摘要

Zusammenfassung der EBA/GL/2019/02 – Leitlinien zu Auslagerungen

1. Einhaltung und Meldepflichten

Status der Leitlinien: Die Leitlinien wurden gemäß Artikel 16 der Verordnung (EU) Nr. 1093/2010 herausgegeben und sind als angemessene Aufsichtspraktiken im Europäischen Finanzaufsichtssystem zu verstehen.
Meldepflichten: Zuständige Behörden und Finanzinstitute müssen der EBA bis zu einem bestimmten Datum mitteilen, ob sie den Leitlinien folgen oder nicht. Bei Nichtmeldung wird davon ausgegangen, dass die Anforderungen nicht erfüllt werden.
Meldeverfahren: Die Mitteilungen sind an compliance@eba.europa.eu mit dem Betreff „EBA/GL/2019/02“ zu senden und müssen von autorisierten Personen übermittelt werden.
Veröffentlichung: Die Meldungen werden gemäß Artikel 16 Absatz 3 der EBA-Verordnung auf der EBA-Website veröffentlicht.

2. Gegenstand, Anwendungsbereich und Begriffsbestimmungen

Ziel der Leitlinien: Festlegung von Governance-Regelungen und Risikomanagementmaßnahmen für Institute, Zahlungsinstitute und E-Geld-Institute bei Auslagerungen, insbesondere kritischer oder wesentlicher Funktionen.
Adressaten: Die Leitlinien gelten für:
- Zuständige Behörden gemäß Artikel 4 Absatz 1 Ziffer 40 der Verordnung (EU) Nr. 575/2013.
- Institute und Zahlungsinstitute gemäß Artikel 4 Absatz 1 Ziffer 3 der Verordnung (EU) Nr. 575/2013.
- E-Geld-Institute gemäß Artikel 2 Absatz 1 der Richtlinie 2009/110/EG.
Ausnahme: Kontoinformationsdienstleister, die ausschließlich Dienstleistungen im Sinne von Anhang I Nummer 8 der Richtlinie (EU) 2015/2366 erbringen, fallen nicht unter den Anwendungsbereich.
Begriffserklärungen:
- Auslagerung: Vereinbarung mit einem Dienstleister, bei der eine Funktion übernommen wird.
- Kritische oder wesentliche Funktion: Funktionen, die bei Unterlassen oder unzureichender Ausführung zu erheblichen Beeinträchtigungen führen können.
- Weiterverlagerungen: Weitergabe einer ausgelagerten Funktion an einen anderen Dienstleister.
- Dienstleister: Dritter, der im Rahmen einer Auslagerungsvereinbarung Tätigkeiten, Dienstleistungen oder Prozesse für ein Institut oder Zahlungsinstitut erbringt.
- Cloud-Dienste: Dienste, die über Cloud-Computing erbracht werden.
- Öffentliche Cloud: Cloud-Infrastruktur, die von der Öffentlichkeit genutzt werden kann.
- Private Cloud: Cloud-Infrastruktur, die ausschließlich von einem Institut oder Zahlungsinstitut genutzt wird.
- Community-Cloud: Cloud-Infrastruktur, die von einer bestimmten Gruppe von Instituten oder Zahlungsinstituten genutzt wird.
- Hybrid-Cloud: Kombination aus zwei oder mehr Cloud-Infrastrukturen.
- Leitungsorgan: Organ, das für die Festlegung der Strategie, Ziele und Gesamtpolitik sowie die Kontrolle der Geschäftsführung zuständig ist.

3. Umsetzung

Umsetzungsfrist: Die Leitlinien gelten ab 30. September 2019, mit Ausnahme von Abschnitt 63 Buchstabe b, das ab 31. Dezember 2021 gilt.
Übergangsbestimmungen:
- Institute und Zahlungsinstitute müssen bestehende Auslagerungsvereinbarungen bis 31. Dezember 2021 überprüfen und anpassen.
- Bei Nichtabschluss der Überprüfung bis 31. Dezember 2021 muss dies der zuständigen Behörde mitgeteilt werden.
Aufhebung: Die vorherigen Leitlinien des CEBS und der EBA zur Auslagerung an Cloud-Anbieter werden ab 30. September 2019 aufgehoben.

4. Leitlinien zu Auslagerungen

Titel I – Verhältnismäßigkeit: gruppenweite Anwendung und institutsbezogene Sicherungssysteme

Verhältnismäßigkeit: Die Anwendung der Leitlinien muss im Einklang mit dem individuellen Risikoprofil, Geschäftsmodell und Tätigkeitsumfang stehen.
Zentrale Bewertung: Institute und Zahlungsinstitute, die in einer Gruppe oder einem Sicherungssystem tätig sind, müssen sicherstellen, dass alle Aspekte der Auslagerungsvereinbarungen berücksichtigt werden.
Zentralisierte Überwachung: Bei zentraler Überwachung von Auslagerungsvereinbarungen müssen mindestens jährliche oder auf Anforderung Berichte vorliegen, und alle Institute müssen Zugang zu diesen Berichten haben.
Ausstiegsplan: Bei Verwendung von zentralen Ausstiegsplänen für kritische oder wesentliche Funktionen müssen alle Institute eine Zusammenfassung des Plans erhalten.
Ausnahmen: Bei Gewährung von Ausnahmeregelungen gemäß Artikel 21 oder 109 der Verordnungen sind die Leitlinien für alle Beteiligten anzuwenden.

Titel II – Bewertung von Auslagerungsvereinbarungen

Bewertung der Auslagerung: Institute und Zahlungsinstitute müssen prüfen, ob eine Vereinbarung mit einem Dritten als Auslagerung gilt.
Kritische oder wesentliche Funktionen:
- Funktionen, die bei Unterlassen zu erheblichen Beeinträchtigungen führen.
- Funktionen, die für die interne Kontrolle entscheidend sind.
- Funktionen, die in einem Umfang ausgelagert werden, der eine Zulassung der zuständigen Behörde erfordert.
Bewertungsfaktoren:
- Verknüpfung mit den zugelassenen Geschäftstätigkeiten.
- Auswirkungen auf die finanzielle Stabilität, Geschäftsfortführung und operationelle Widerstandsfähigkeit.
- Risikobewertung, insbesondere operationelle Risiken, IT-Risiken, rechtliche Risiken und Reputationsrisiken.
- Auswirkungen auf die Kunden- und Dienstleistungsgüte.
- Aggregierte Risikoposition gegenüber dem Dienstleister.
- Ersetzbarkeit der Auslagerungsvereinbarung.
- Wiedereingliederungsfähigkeit der Funktion.
- Datenschutz und Vertraulichkeitspflichten.

5. Rahmen für die Governance

Solide Governance-Regelungen: Institute und Zahlungsinstitute müssen ein umfassendes Risikomanagement-System einrichten, das alle Geschäftsbereiche und Einheiten abdeckt.
Third-Party-Risiken: Alle Risiken, die durch Vereinbarungen mit Dritten entstehen, müssen ermittelt, bewertet, überwacht und kontrolliert werden.
Verantwortung des Leitungsorgans:
- Sicherstellung der Einhaltung der Zulassungsbedingungen.
- Kontrolle der interne Organisation.
- Ermittlung und Bewältigung von Interessenkonflikten.
- Festlegung von Strategien und Richtlinien.
- Beaufsichtigung des Tagesgeschäfts und der damit verbundenen Risiken.
- Überwachung der Entscheidungsprozesse der Geschäftsführung.
Eignungskriterien: Die Eignungskriterien für Leitungsorgane, Direktoren und Schlüsselfunktionsträger dürfen nicht verringert werden.
Ressourcen: Institute und Zahlungsinstitute müssen angemessene Ressourcen und Kompetenzen bereitstellen, um die Auslagerungsvereinbarungen zu managen und zu überwachen.