EBA欧洲银行-EBA-revised-Guidelines-on-outsourcing_BG_47页_685kb

文档总结：EBA/GL/2019/02

核心内容

本文件是欧洲银行管理局（EBA）发布的一份指导文件，旨在为金融机构提供关于金融工具的透明度和披露要求的详细说明，特别针对电子支付服务、云服务、外包服务等涉及外部服务提供者的业务领域。该文件明确了金融机构在处理这些服务时应遵循的合规性要求，包括信息的提供、风险管理和责任划分等。

主要观点

1. 披露义务与合规性

• 所有金融机构必须根据欧盟法规（如（EC）第1093/2010号条例）向EBA提交相关信息。
• 金融机构需确保其在使用外部服务时，如云服务、外包服务等，能够准确披露相关风险，并确保其合规性。
• 金融机构应通过电子邮件（compliance@eba.europa.eu）提交相关信息，文件编号为EBA/GL/2019/02。

2. 透明度要求

• 金融机构需明确说明其在使用外部服务时的责任划分，包括：
  • 服务提供者类型（如云服务、外包服务等）。
  • 服务内容（如数据存储、处理、传输等）。
  • 服务风险（如数据安全、法律合规、操作风险等）。
• 金融机构需确保其提供的信息与欧盟金融工具透明度指令（如（EC）第575/2013号条例）保持一致。

3. 服务类型与定义

• 文档详细列出了多种服务类型及其定义，包括：
  • 云服务：涉及数据存储、处理、传输等服务，需确保服务的可用性和安全性。
  • 外包服务：包括支付服务、数据处理、系统开发等，需明确服务提供者的责任。
  • 混合云服务：结合私有云和公共云的结构，需特别注意数据的管理和控制。
  • 公共云服务：由第三方提供的基础设施服务，需确保其符合数据保护和安全要求。
  • 私有云服务：仅限于内部使用，不对外提供。
  • 金融基础设施服务：如支付系统、清算系统等，需符合欧盟监管要求。

4. 风险管理与责任划分

• 金融机构需对其使用外部服务的风险进行评估，并确保其风险控制措施到位。
• 金融机构应确保其服务提供者（如云服务提供商）具备足够的资质和合规能力。
• 若服务提供者未满足合规要求，金融机构需承担相应的责任，并采取措施确保其服务符合法规。

关键信息

1. 披露要求的时间节点

• 从2019年3月30日开始，金融机构需提交相关披露信息。
• 从2021年12月31日起，未提交信息的机构将被视为不符合规定。

2. 监管依据

• 依据（EC）第1093/2010号条例、（EC）第575/2013号条例、（EC）第2013/36/EC号指令、（EC）第2015/2366号条例及（EC）第2009/110/EC号指令。
• 需确保与GDPR（（EC）第2016/679号条例）的合规性。

3. 责任划分

• 金融机构需对其使用外部服务的合规性负责，包括：
  • 服务提供者的资质和能力。
  • 服务的透明度和风险评估。
  • 数据保护和隐私合规。

4. 风险管理措施

• 金融机构应确保其服务提供者在提供服务时遵循相关法规。
• 金融机构需对服务的可用性、安全性、数据处理方式等进行评估。
• 对于涉及跨境服务的情况，需确保符合欧盟跨境监管要求。

结构清晰的要点总结

1. 披露义务

• 金融机构需向EBA提交信息，说明其使用外部服务的情况。
• 未提交信息的机构将被认定为不符合法规。
• 披露内容包括服务类型、服务内容、风险评估等。

2. 服务类型与定义

• 云服务：包括基础设施、数据存储、数据处理、数据传输等。
• 外包服务：如支付服务、数据处理、系统开发等。
• 混合云服务：结合私有云与公共云。
• 公共云服务：由第三方提供的服务。
• 私有云服务：仅限内部使用。
• 金融基础设施服务：如支付系统、清算系统等。

3. 合规要求

• 金融机构需确保其服务符合欧盟相关法规。
• 需确保服务提供者具备足够的资质和合规能力。
• 需对服务的可用性、安全性、数据保护等进行管理。

4. 风险管理

• 金融机构需对使用外部服务的风险进行评估。
• 需确保服务的透明度和可追溯性。
• 需采取措施确保服务符合GDPR等数据保护法规。

总结

该文档详细阐述了金融机构在使用外部服务（如云服务、外包服务）时应遵循的披露义务、透明度要求、合规性规定和风险管理措施。其核心目的是确保金融机构在提供金融服务时，能够有效管理相关风险，同时遵守欧盟对金融工具透明度和数据保护的要求。文档适用于所有欧盟成员国的金融机构，并强调了责任划分和服务提供者资质的重要性。