EBA欧洲银行-EBA-revised-Guidelines-on-outsourcing_PT_42页_607kb

Resumo das Orientações da EBA relativas à Subcontratação

1. Obrigações de Cumprimento e Comunicação de Informação

As orientações da EBA (EBA/GL/2019/02) são emitidas no âmbito do artigo 16.9 do Regulamento (UE) n.º 1093/2010 e devem ser cumpridas pelas autoridades competentes e instituições financeiras. As autoridades competentes devem confirmar se dão ou pretendem dar cumprimento às orientações, comunicando isso à EBA por meio de um formulário disponível no site da EBA, com a referência «EBA/GL/2019/02». Qualquer alteração na situação de cumprimento também deve ser comunicada.

As notificações são públicas no site da EBA. As orientações entram em vigor a partir de 30 de setembro de 2019, exceto para o parágrafo 63 alínea b), que entra em vigor a partir de 31 de dezembro de 2021. As instituições e instituições de pagamento devem revisar e adequar os seus acordos de subcontratação existentes para garantir a conformidade com as orientações.

2. Objeto, Âmbito de Aplicação e Definições

Objeto

As orientações estabelecem requisitos de governança interna, incluindo gestão de riscos, que devem ser implementados por instituições, instituições de pagamento e instituições de moeda eletrónica ao subcontratarem funções, especialmente as essenciais ou importantes.

Destinatários

As orientações aplicam-se às autoridades competentes, instituições financeiras, instituições de pagamento e instituições de moeda eletrónica. Prestadores de serviços de informação sobre conta não estão incluídos.

Definições

• Subcontratação: Acordo entre uma instituição e um prestador de serviços para realizar uma função que, de outra forma, seria executada pela própria instituição.
• Funções essenciais ou importantes: Funções que, se falhassem, teriam impacto significativo na continuidade das atividades, na solidez financeira ou na conformidade com obrigações regulamentares.
• Sub-subcontratação: Transferência de uma função subcontratada para outro prestador de serviços.
• Prestador de serviços: Entidade terceira que realiza, em parte ou integralmente, uma atividade, processo ou serviço subcontratado.
• Serviços de computação em nuvem: Serviços fornecidos por meio de infraestrutura em nuvem.
• Nuvel público: Infraestrutura em nuvem disponível para utilização por múltiplas entidades.
• Nuvel privado: Infraestrutura em nuvem exclusiva para uma única instituição.
• Nuvel comunitário: Infraestrutura em nuvem exclusiva para uma comunidade específica de instituições.
• Nuvel híbrido: Infraestrutura composta por múltiplas infraestruturas em nuvem.

3. Implementação

Data de Aplicação

As orientações aplicam-se a todos os acordos de subcontratação celebrados, revistos ou alterados a partir de 30 de setembro de 2019, exceto o parágrafo 63 alínea b), que entra em vigor a partir de 31 de dezembro de 2021.

Disposições Transitórias

As instituições e instituições de pagamento devem completar a documentação de todos os acordos de subcontratação existentes, exceto os acordos com prestadores de serviços em nuvem, antes da primeira renovação de cada contrato, mas no máximo até 31 de dezembro de 2021.

Revogação

As orientações do Comité das Autoridades Europeias de Supervisão Bancária (CAESB) de 14 de dezembro de 2006 sobre a subcontratação e as recomendações da EBA relativas à subcontratação externa a prestadores de serviços de computação em nuvem são revogadas com efeitos a partir de 30 de setembro de 2019.

4. Orientações Relativas à Subcontratação

Título I – Proporcionalidade

As instituições e instituições de pagamento devem aplicar o princípio da proporcionalidade ao cumprir as orientações, considerando o perfil de risco, a natureza e o modelo de negócio, bem como a complexidade das atividades. A avaliação deve incluir a complexidade das funções subcontratadas, os riscos associados ao acordo, a importância da função e o impacto da subcontratação na continuidade das atividades.

Título II – Avaliação dos Acordos de Subcontratação

As instituições e instituições de pagamento devem avaliar se um acordo com uma entidade terceira constitui subcontratação. A avaliação deve considerar se a função é executada de forma contínua ou periódica pelo prestador de serviços e se está dentro do âmbito das funções que a instituição ou instituição de pagamento poderia normalmente desempenhar.

Os seguintes casos não são considerados subcontratação:

• Funções que legalmente devem ser desempenhadas por prestadores de serviços (ex.: revisão legal de contas).
• Serviços de informação sobre mercados (ex.: Bloomberg, Moody’s).
• Infraestruturas globais de rede (ex.: Visa, MasterCard).
• Sistemas de compensação e liquidação entre instituições e seus membros.
• Infraestruturas globais de mensagens financeiras sob supervisão.
• Serviços de correspondente bancário.
• Aquisição de serviços que não seriam realizados pela instituição (ex.: aconselhamento de arquiteto, serviços médicos).

Título III – Quadro de Governança

As instituições e instituições de pagamento devem garantir a existência de um quadro holístico de gestão de riscos que abranja todas as linhas de negócio e atividades. Devem identificar, avaliar, monitorizar e gerir todos os riscos associados aos acordos de subcontratação, incluindo riscos operacionais, cibernéticos, legais e reputacionais.

O orgão de administração é responsável pelo cumprimento de todas as obrigações regulamentares, incluindo a supervisão da subcontratação. A subcontratação não pode resultar na delegação das responsabilidades do orgão de administração.

As instituições e instituições de pagamento devem:

• Assegurar a gestão adequada dos acordos de subcontratação.
• Disponibilizar recursos suficientes e qualificados.
• Criar uma função de subcontratação ou nomear um quadro superior responsável perante o orgão de administração.
• Garantir a transparência e a clareza na estrutura organizacional.
• Evitar tornar-se "entidades vazias" ou "entidades de caixa de correspondência".

As orientações também reforçam a necessidade de cumprir o Regulamento (UE) 2016/679 (RGPD) em relação à proteção de dados e à confidencialidade.