EBA欧洲银行-EBA-revised-Guidelines-on-outsourcing_CS_38页_636kb

Shrnutí dokumentu EBA/GL/2019/02 – Obecné pokyny k outsourcingu

1. Dodržování pravidel a oznamovací povinnosti

• Status dokumentu: Dokument obsahuje obecné pokyny vydané podle přílohy 16 nařízení (EU) č. 1093/2010. Príslušné orgány a finanční instituce mají dodržovat tyto pokyny.
• Oznámení: Príslušné orgány musí do 30. září 2019 EBA oznámit, zda se těmito pokyny řídí nebo plánují řídit. Pokud ne, EBA považuje za to, že se neřídí. Oznámení musí být odesláno na e-mail compliance@eba.europa.eu s označením „EBA/GL/2019/02“.
• Změny stavu: Jakákoli změna stavu dodržování pokynů musí být oznámena.

2. Předmět, oblast působnosti a definice

• Předmět: Obecné pokyny se týkají vnitřních systémů správy a řízení, včetně řízení rizik, při externím zajištění služeb nebo činností (outsourcingu), zejména kritických nebo důležitých funkcí.
• Oblast působnosti:
  • Instituce, platební instituce a instituce elektronických peněz musí dodržovat pokyny na individuálním, subkonsolidovaném a konsolidovaném základě.
  • Pokyny se nevztahují na poskytovatele služeb informování o účtech, které poskytují pouze služby v čl. 8 přílohy I směrnice (EU) 2015/2366.
• Definice:
  • Externí zajištění služeb nebo činností (outsourcing): Ujednání mezi institucí, platební institucí a poskytovatelem služeb.
  • Funkce: Procesy, služby nebo činnosti.
  • Kritická nebo důležitá funkce: Funkce, která je považována za kritickou nebo důležitou podle oddílu 4.
  • Navazující externí zadání (řetězový outsourcing): Případ, kdy poskytovatel služeb dále přenáší funkce na jiného poskytovatele.
  • Poskytovatel služeb: Třetí strana, která zajišťuje činnosti nebo služby.
  • Cloudové služby: Služby poskytované za využití cloud computingu.
  • Veřejný cloud: Infrastruktura, kterou mohou používat široká veřejnost.
  • Soukromý cloud: Infrastruktura, kterou používají pouze jednotlivé instituce.
  • Komunitní cloud: Infrastruktura, kterou používají konkrétní skupiny institucí.
  • Hybridní cloud: Složený z více různých cloudových infrastruktur.
  • Vedoucí orgán: Organ nebo orgány, které mají právo stanovovat strategii a sledovat činnosti instituce.

3. Provádění a datum použití

• Datum použití: Obecné pokyny se použijí od 30. září 2019, s výjimkou odstavce 63 písm. b), který se použije od 31. prosince 2021.
• Přechodné ustanovení: Instituce a platební instituce musí provést audit všech stávajících ujednání o outsourcingu a upravit je tak, aby byla v souladu s těmito pokynky.
• Zrušení: S účinností od 30. září 2019 se zrušují starší pokyny EBA a doporučení k zajištění cloudových služeb.

4. Obecné pokyny k outsourcingu

Hlava I – Proporcionalita: uplatnění ve skupině a institucionální systémy ochrany

• Zásada proporcionality: Systémy správy a řízení musí odpovídat individuálnímu rizikovému profilu, povaze a obchodnímu modelu instituce.
• Zohlednění rizik: Při hodnocení externího outsourcingu musí být zohledněna složitost, potenciální dopad na finanční odolnost, kontinuitu činností a rizika.
• Kritické a důležité funkce:
  • Funkce se považují za kritické, pokud jejich nesplnění ohrozí trvalé splňování podmínek povolení, finanční výkonnost, zdraví nebo kontinuitu činností.
  • Pokud jsou provozní úkoly vnitřní kontroly zajištěny externě, musí být zohledněn dopad na provozní kontinuitu.

Hlava II – Posouzení ujednání o outsourcingu

• Posouzení externího zajištění služeb: Instituce a platební instituce musí určit, zda daná činnost nebo služba spadá pod outsourcing.
• Exkluze: Některé služby nejsou považovány za outsourcing, např. audit, služby informačních systémů, služby prodejních automatů a jiné.
• Rizika a dopady: Musí být zohledněna všechna rizika, zejména operační, informačních a komunikačních technologií, právních rizik, kontinuita činností, dopady na klientské služby a ochranu dat.

Hlava III – Rámec správy a řízení

• Zásady pro outsourcing:
  • Vedoucí orgán musí schválovat, pravidelně posuzovat a aktualizovat zásady pro outsourcing.
  • Zásady musí zahrnovat hlavní fáze životního cyklu outsourcingu, včetně plánování, monitorování a řízení.
• Dokumentace a zodpovědnost:
  • Instituce a platební instituce musí zajistit jasné rozdělení úkolů a zodpovědnosti.
  • Zajištění vnitřní kontroly a dohledu nad outsourcingem.
  • Zajištění dostatečných zdrojů a kapacit pro řízení a dohled.
• Způsobilost a kontrola:
  • Outsourcing nesmí snižovat požadavky na způsobilost vedoucího organu.
  • Zajištění schopnosti zpracovávat informace, zajišťovat kontinuitu činností a reagovat na rizika.

Závěr

Dokument EBA/GL/2019/02 stanovuje obecné pokyny pro zajištění služeb a činností (outsourcingu) ve finančním sektoru, které musí dodržovat instituce, platební instituce a instituce elektronických peněz. Zásady proporcionality, posouzení rizik a zajištění kontinuity činností jsou klíčové. Pokyny jsou závazné na individuálním, subkonsolidovaném a konsolidovaném základě, s výjimkou určitých situací. Zároveň se zrušují starší pokyny a doporučení.