EBA欧洲银行-EBA-revised-Guidelines-on-outsourcing_FI_40页_557kb

Dokumentin yhteenveto: EBA/GL/2019/02 - Ulkoistamista koskevat ohjeet

1. Noudattamis- ja ilmoittamisvelvoitteet

• Ohjeiden asema: Ohjeet ovat tehty asetuksen (EU) N:o 1093/2010 pohjalta, ja toimivaltaiset viranomaiset ja finanssilaitokset tulee noudattaa niitä.
• Ilmoitusten velvoite: Toimivaltaiset viranomaiset tulee ilmoittaa Europan pankkiviranomaiselle (EBA) viimeistään määräpäivämäärä, että ne noudattavat tai aikovat noudattaa ohjeita. Jos ilmoitusta ei anneta ajoissa, EBA katsoo, etteivät ne noudata ohjeita.
• Ilmoitusten lähetys: Ilmoitukset lähetetään sähköpostitse osoitteeseen compliance@eba.europa.eu ja viitteeksi käytetään "EBA/GL/2019/02".
• Ilmoituksen teko: Ilmoituksen tulee tehdä vain henkilö, jolla on asianmukaiset valtuudet.

2. Kohde, soveltamisala ja märitelmät

Kohde

• Ohjeet koskevat laitoksia, maksulaitoksia ja sähköisen rahan liikkeseenlaskijalaitoksia.
• Tarkoituksena on määrätä sisäistä hallintoa ja valvontaa koskevat järjestelyt, erityisesti kriittisten ja tärkeiden toimintojen ulkoistamisesta.

Soveltamisala

• Ohjeet sovelletaan laitoksille ja maksulaitoksille, jotka ovat EU:ssa emoyrityksenä toimivia tai jäsenvaltioiden emoyrityksenä toimivia.
• Ohjeet koskevat myös sähköisen rahan liikkeseenlaskijalaitoksia.

Märitelmät

• Ulkoistaminen: Toimintojen, prosessien tai palveluiden siirtäminen kolmalle osapuolelle.
• Kriittinen tai tärkeä toiminto: Toiminto, joka vaikuttaa vakavaraisuuden, jatkuvuuden tai toimilupavaatimusten noudattamiseen.
• Pilvipalvelut: Palvelut, joita tarjotaan tietotekniikan resurssipalveluiden kautta.
• Ylin hallintoelin: Organisaatio, jolla on valtuudet asettaa laitoksen tai maksulaitoksen strategiat ja tavoitteet.

3. Täytäntöönpano

Soveltamispäivämäärä

• Ohjeet sovelletaan 30. syyskuuta 2019 alkaen kaikkiin ulkoistamisjärjestelyihin, 31. joulukuuta 2021 alkaen kriittisiin ja tärkeisiin toimintojen ulkoistamisjärjestelyihin.

Siirtymäsaannokset

• Laitokset ja maksulaitokset tulee uusia dokumentteja kaikista nykyisistä ulkoistamisjärjestelyistä viimeistään 31. joulukuuta 2021.

Kumoaminen

• EBA antama ulkoistamisohjeet ja suositukset pilvipalveluihin kumoutetaan 30. syyskuuta 2019 alkaen.

4. Ulkoistamisjärjestelyiden arvioiminen

Ulkoistaminen

• Laitokset ja maksulaitokset tulee arvioida, kuuluuko järjestely ulkoistamisen määritelmän piiriin.
• Tarkastellaan, vastaako palveluntarjoaja toimintoa ja kuuluuko toiminto tavanomaiseen toimintoihin.

Kriittiset tai tärkeät toiminnot

• Kriittisiä tai tärkeitä toimintoja on arvioitava erityisesti seuraavien tekijöiden perusteella:
  • Toimilupavaatimusten noudattaminen
  • Taloudellinen elinkelpoisuus
  • Vakavaraisuus ja jatkuvuus
  • Operatiivinen riski
  • Tietosuoja ja salassapitovuus
  • Kriittisten toimintojen jatkuvuus
  • Riskien kumulatiivinen vaikutus
  • Kolmansien osapuolten järjestelyjen vaikutus

5. Hallintokehys

Luotettavat hallintajärjestelmät

• Laitokset ja maksulaitokset tulee varmistaa, että niillä on koko laitoksen riskienhallintajärjestelmä, joka kattaa kaikki toimintojen osa-alueet.
• Tämä järjestelmä tulee hallita kolmansien osapuolten aiheuttamia riskejä, erityisesti operatiivisia riskejä.

Toimintojen ulkoistaminen

• Laitokset ja maksulaitokset tulee varmistaa, että niillä on riittävät resurssit ja valmiudet ulkoistamisen hallintaan.
• Tulee olla selkeä vastuu- ja tehtäväjakoa ulkoistamisjärjestelyiden seurantaan ja valvontaan.
• Toimintojen ulkoistaminen ei saa vähentää ylin hallintoelin velvollisuuksia.

Ulkoistamisperiaatteet

• Ulkoistamisperiaatteet tulee hyväksyä, tarkastaa ja päivittää säännöllisesti.
• Periaatteet tulee soveltaa yksilöllisellä, konsolidoidulla ja alakonsolidointiryhmän tasolla.
• Periaatteet tulee sisältää ylimmän hallintoelin vastuut, liiketoiminnan osa-alueiden osallistumisen ja ulkoistamisjärjestelyjen suunnittelun.

6. Tietosuoja ja riskienhallinta

• Laitokset ja maksulaitokset tulee noudattaa asetuksen (EU) 2016/679 (GDPR) vaatimuksia kaikissa ulkoistamisjärjestelyissä, erityisesti henkilöiden tietojen käsittelyssä.
• Tietosuoja- ja salassapitovuusjärjestelyt tulee varmistaa olemassaolon ja sujuvan tiedonvälityksen.
• Tietosuoja- ja salassapitovuusjärjestelyt tulee tarkastaa ja hallita asianmukaisesti.

7. Yhteenveto

• Ohjeet ovat tärkeä hallinnollinen ja valvontainen kehys ulkoistamisjärjestelyiden toteuttamiselle.
• Kriittiset ja tärkeät toiminnot tulee arvioida erityisesti, koska niiden ulkoistaminen voi vaikuttaa vakavaraisuuteen, jatkuvuuteen ja toimilupavaatimusten noudattamiseen.
• Pilvipalvelut tulee arvioida erityisesti niiden riskienhallintaa, tietosuojaa ja liiketoiminnan jatkuvuutta.
• Ylin hallintoelin on aina vastuussa ja tilivelvollinen kaikkien säntelyllisten velvoitteiden noudattamisesta, mukaan lukien ulkoistamisen seuranta ja valvonta.
• Ohjeet tulee noudattaa kaikin ravoin ja säilyttää asianmukaisesti.