Reguli noi privind reglementarea acordurilor de externalizare în sectorul financiar al UE 

Ghidul revizuit privind acordurile de externalizare (Ghidul), publicat de Autoritatea Bancară Europeană (ABE) pe 25 februarie, se va aplica tuturor acordurilor de externalizare încheiate, revizuite sau modificate începând cu 30 Septembrie 2019.

De la aceeași dată, Ghidul CEBS privind externalizarea  (Ghidul CEBS) și recomandările ABE privind externalizarea către furnizori de servicii de tip cloud se abrogă (acestea din urmă fiind integrate în Ghid).

Cu titlu de excepție, noile reguli privind cooperarea între autoritățile competente responsabile cu supravegherea instituțiilor financiare și autoritățile competente responsabile cu supravegherea unui prestator de servicii extern dintr-o țară terță, în situația în care desfășurarea activităților externalizare necesită o autorizare sau înregistrare, se vor aplica începând cu 31 Decembrie 2021.

Vă prezentăm în continuare sinteza aspectelor cheie prevăzute de Ghid.

Domeniul de aplicare

Ghidul își propune să stabilească un cadru mai armonizat privind externalizarea pentru instituțiile financiare care intră sub incidența domeniului său de aplicare, respectiv:

o    instituțiile de credit și firmele de investiții care fac obiectul Directivei privind cerințele de capital (CRD);

o    instituțiile de plată;

o    instituțiile emitente de monedă electronică.

Aspecte cheie

Procesul de externalizare – principalele etape

o    Înainte de încheierea oricărui acord de externalizare, instituțiile financiare ar trebui să:

i)     evalueze dacă acordul de externalizare privește o funcție critică sau importantă (menționate anterior în Ghidul CEBS drept “activități semnificative”);

ii)    analizeze dacă condițiile privind supravegherea externalizării sunt îndeplinite (i.e. în funcție de locul unde se află furnizorul de servicii, în cazul unor acorduri de externalizare referitoare la funcțiile a căror îndeplinire necesită o autorizație/înregistrare, trebuie respectate cerințe specifice);

iii)   identifice și evalueze toate riscurile relevante asociate acordurilor de externalizare (a se vedea Secțiunea 12.2 din Ghid cu privire la factorii care trebuie avuți în vedere în cadrul acestei evaluări);

iv)  desfășoare o evaluare de tip due diligence adecvată asupra potențialului furnizor de servicii extern (a se vedea Secțiunea 12.3 din Ghid cu privire la factorii care trebuie avuți în vedere în cadrul acestei evaluări);

v)    identifice și evalueze conflictele de interese care pot apărea prin externalizare.

Acordurile încheiate cu terțe părți: când sunt considerate externalizare?

o    Atunci când analizează dacă un acord cu o terță parte intră sub definiția externalizării, instituțiile financiare ar trebui să analizeze dacă:

i)     funcția externalizată (sau o parte a acesteia) este îndeplinită pe bază recurentă sau continuă de către furnizorul de servicii extern; și dacă

ii)    funcția (sau o parte a acesteia) în mod normal, se încadrează în domeniul funcțiilor care ar fi sau ar putea fi desfășurate în mod realist de către instituția financiară (chiar dacă instituția financiară nu a îndeplinit ea însăși această funcție în trecut).

o    Spre exemplu, următoarele tipuri de servicii nu reprezintă externalizare:

i)     achiziționarea de servicii care în mod normal nu ar fi întreprinse de instituția financiară (de exemplu, opiniile juridice și reprezentarea în fața instanțelor și organelor administrative, întreținerea sediului instituției financiare și a mașinilor companiei, servicii de catering, servicii de călătorie), bunuri (de exemplu, carduri de plastic, cititoare de carduri, consumabile de birou, calculatoare pentru personal, mobilier) sau utilități;

ii)    auditul statutar;

iii)   servicii de informare în marketing (de exemplu, furnizarea de date de către Bloomberg);

iv)  infrastructurile de rețele globale (e.g., Visa, MasterCard).

Evaluarea materialității

o    Atunci când evaluează dacă o externalizare se referă la o funcție critică sau importantă (menționate anterior în Ghidul CEBS drept “activități semnificative”), instituțiile financiare trebuie să ia în considerare factori suplimentari, cum ar fi:

i)     dacă acordul de externalizare este direct legat de furnizarea activităților bancare sau serviciilor de plată pentru care sunt autorizate;

ii)    impactul potențial al oricărei întreruperi a funcției externalizate asupra riscului operațional, juridic, reputațional, planului de redresare și rezoluție;

iii)   impactul potențial al acordului de externalizare asupra capacității acestora de a identifica, monitoriza și gestiona toate riscurile, de a respecta toate cerințele legale și de reglementare și de a efectua audituri adecvate cu privire la funcțiile externalizate;

iv)  impactul potențial asupra serviciilor furnizate clienților;

v)    protecția datelor și impactul potențial al unei încălcări a confidențialității;

vi)  dimensiunea și complexitatea oricărei zone de afaceri afectate;

vii) posibilitatea ca acordul de externalizare propus să fie extins, fără a înlocui sau a revizui acordul de bază;

viii)  capacitatea de a reintegra funcția externalizată în instituția financiară, dacă este necesar sau se dorește.

o    Funcțiile necesare pentru desfășurarea activităților principalelor linii de activitate sau funcțiile critice (în sensul Directivei 2014/59/UE) ar trebui considerate funcții critice sau importante în sensul Ghidului, cu excepția cazului în care neîndeplinirea sau îndeplinirea inadecvată a funcției externalizate nu ar avea un impact negativ asupra continuității operaționale a liniei principale de activitate sau a funcției critice.

Contractul de externalizare

o    Spre deosebire de Ghidul CEBS anterior, noul Ghid nu prevede un set minim obligatoriu de dispoziții care să fie inclus în aranjamentele de externalizare a funcțiilor care nu sunt critice.

o    În orice caz, prin acordurile de externalizare trebuie să reglementeze dispoziții specifice cu privire la:

i)     sub-externalizarea funcțiilor critice sau importante;

ii)    securitatea sistemelor de date;

iii)   drepturi de acces, de informare și de efectuarea a auditului;

iv)  drepturile de reziliere ale instituției financiare;

v)    supravegherea funcțiilor externalizate de către instituțiile financiare;

vi) strategii privind ieșirea din contract.

Cadrul de guvernanță

o    Ghidul clarifică responsabilitățile organului de conducere al fiecărei instituții financiare, inclusiv supravegherea tuturor riscurilor și gestionarea acordurilor de externalizare. Printre altele, instituțiile financiare ar trebui:

i)     să documenteze toate acordurile actuale de externalizare (făcând distincție între externalizarea funcțiilor critice și alte acorduri) și să mențină un registru actualizat de informații privind toate acordurile de externalizare;

ii)    să se asigure că externalizarea nu conduce la o situație în care o instituție financiară devine o entitate fără substanță economică de tipul “empty shell” sau “letter-box-entities”;

iii)   să își alinieze politica de externalizare cu Ghidul EBA privind guvernanța internă;

iv)  să identifice, evalueze și gestioneze conflictele de interese în ceea ce privește acordurile lor de externalizare (i.e., atunci când externalizarea creează conflicte de interes semnificative, trebuie luate măsuri de gestionare adecvate).

Acordurile de externalizare din cadrul aceluiași grup sau sistem instituțional de protecție

o    Ghidul se va aplica pe bază individuală, consolidată și sub-consolidată, luând în considerare sfera de aplicare prudențială a consolidării, astfel cum se menționează în Regulamentul privind cerințele de capital (“CRR”).

o    În cazurile în care Ghidul se aplică pe bază consolidată (la nivelul grupului) sau atunci când furnizorii de servicii fac parte din același grup ca instituțiile financiare devin aplicabile norme specifice (de exemplu, monitorizarea individuală sau centralizată (la nivelul grup) a furnizorilor de servicii).

Dispoziții tranzitorii

o    Instituțiile financiare ar trebui să asigure alinierea acordurilor de externalizare existente la prevederile Ghidului.

o    Instituțiile financiare ar trebui să finalizeze, în conformitate cu Ghidul, documentația aferentă tuturor acordurilor de externalizare existente (cu excepția acordurilor de externalizare pentru furnizorii de servicii de tip cloud), la prima dată de reînnoire a fiecărui acord existent de externalizare, dar nu mai târziu de 31 decembrie 2021.

Cu privire la acordurile de externalizare a funcțiilor critice sau importante, în cazul în care această revizuire nu este finalizată până la 31 decembrie 2021, instituțiile financiare trebuie să informeze autoritatea competentă în acest sens, cu detalierea măsurilor planificate pentru a finaliza revizuirea sau strategiile de ieșire din contract aflate la dispoziția acestora.