EBA欧洲银行-EBA-revised-Guidelines-on-outsourcing_ES_43页_617kb

Resumen de las Directrices EBA/GL/2019/02 sobre Externalización

1. Obligaciones de Cumplimiento y Notificación

• Rango Jurídico: Las directrices se basan en el artículo 16 del Reglamento (UE) n.º 1093/2010. Las autoridades competentes y las entidades financieras deben aplicarlas en la forma más adecuada, incluyendo posibles modificaciones en su marco jurídico o procedimientos de supervisión.
• Notificaciones: Las autoridades competentes deben notificar a la EBA, a más tardar el [(dd.mm.aaa)], si cumplen o no las directrices, indicando los motivos en caso de no cumplir. En caso de no notificar, la EBA considerará que no se cumplen. Las notificaciones deben remitirse a través del modelo disponible en el sitio web de la EBA a la dirección compliance@eba.europa.eu con la referencia «EBA/GL/2019/02». Cualquier cambio en el cumplimiento debe notificarse igualmente.

2. Objeto, Ámbito de Aplicación y Definiciones

• Objeto: Estas directrices establecen los sistemas de gobierno interno, incluida la gestión adecuada de riesgos, que deben aplicar las entidades, entidades de pago y entidades de dinero electrónico al externalizar funciones, especialmente las esenciales o importantes.
• Destinatarios: Dirigidas a las autoridades competentes, entidades financieras, entidades de pago y entidades de dinero electrónico. Los proveedores de servicios de información sobre cuentas que solo prestan el servicio contemplado en el punto 8 del anexo I de la Directiva (UE) 2015/2366 no están incluidos.
• Definiciones Clave:
  • Externalización: Transferencia de una función a un proveedor de servicios.
  • Función Esencial o Importante: Función cuya falta o fallo podría afectar el cumplimiento de obligaciones regulatorias, resultados financieros, o la continuidad de las actividades.
  • Subcontratación: Transferencia de una función externalizada a otro proveedor.
  • Servicios en la Nube: Servicios basados en la computación en la nube, accesibles bajo demanda.
  • Nube Pública/Privada/Comunitaria/Híbrida: Tipos de infraestructura de nube con diferentes niveles de acceso y uso.
  • Órgano de Administración: Órgano encargado de la estrategia, supervisión y control de la entidad o entidad de pago.

3. Aplicación

• Fecha de Aplicación: A partir del 30 de septiembre de 2019, salvo el apartado 63, letra b), que entra en vigor el 31 de diciembre de 2021.
• Revisión de Acuerdos: Las entidades y entidades de pago deben revisar y modificar los acuerdos de externalización existentes para cumplir con las directrices.
• Disposiciones Transitorias: Deben finalizar la documentación de todos los acuerdos de externalización existentes, salvo los de servicios en la nube, tras la primera renovación de cada acuerdo, pero no más tarde del 31 de diciembre de 2021.
• Derogación: Las Directrices del Comité de Supervisores Bancarios Europeos (CSBE) de 2006 y las Recomendaciones de la EBA sobre servicios en la nube de 2012 se derogaron a partir del 30 de septiembre de 2019.

4. Directrices sobre Externalización

Título I – Proporcionalidad: Aplicación a nivel de grupos y sistemas institucionales de protección

• Principio de Proporcionalidad: Las entidades y entidades de pago deben aplicar el principio de proporcionalidad al cumplimiento o supervisión de las directrices, asegurando que los sistemas de gobierno sean coherentes con el perfil de riesgo, la naturaleza y el modelo de operación de la entidad.
• Aplicación a Grupos y Sistemas de Protección:
  • Las entidades matrices o centrales deben garantizar que los sistemas de gobierno interno de sus filiales sean coherentes y adecuados.
  • En caso de externalización centralizada, deben asegurar el seguimiento independiente y la supervisión adecuada de las funciones esenciales o importantes, incluyendo la recepción de informes periódicos y auditados.
  • Las entidades deben informar a su órgano de administración sobre cambios significativos en los proveedores controlados y su impacto potencial.

Título II – Evaluación de los Acuerdos de Externalización

• Determinación de Externalización:
  • Las entidades deben evaluar si un acuerdo con un tercero constituye externalización.
  • Deben considerar si la función externalizada se realiza de forma recurrente o continua y si es típica de su operación.
  • No se consideran externalizaciones los servicios de información de mercado, infraestructuras globales, servicios bancarios, etc., según se detalla en el apartado 28.
• Evaluación de Funciones Esenciales o Importantes:
  • Deben evaluar si una función es esencial o importante considerando su impacto en el cumplimiento regulatorio, resultados financieros, continuidad operativa, etc.
  • Las entidades deben identificar y gestionar estos riesgos, incluyendo ciberriesgos, y asegurar la protección de datos conforme al Reglamento (UE) 2016/679.

Título III – Marco de Gobernanza

• Sistemas de Gobernanza Adecuados:
  • Las entidades y entidades de pago deben disponer de un marco global de gestión de riesgos que incluya todas las ramas de actividad y unidades internas.
  • Deben identificar, evaluar y gestionar todos los riesgos derivados de acuerdos con terceros, independientemente de si se trata de externalización o no.
  • El órgano de administración debe garantizar el cumplimiento de todas las obligaciones regulatorias, incluida la supervisión de los riesgos asociados a la externalización.
  • Las entidades deben evitar convertirse en "estructuras vacías" y mantener una gestión real y efectiva.
  • Deben asignar responsabilidades claras, recursos suficientes y crear una función de externalización o nombrar un miembro del personal directivo para supervisar los riesgos.

5. Conclusión

Las directrices EBA/GL/2019/02 establecen un marco claro para la externalización de funciones en entidades financieras, entidades de pago y entidades de dinero electrónico. Establecen requisitos de cumplimiento, notificación, evaluación de riesgos y gobernanza, enfocados en garantizar la continuidad operativa, la seguridad de los datos y la adecuada supervisión regulatoria. Además, destacan la importancia del principio de proporcionalidad y la necesidad de mantener un control interno sólido, incluso en casos de externalización centralizada.